Comment corriger cette instruction de mise à jour SQL car elle renvoie une erreur de syntaxe dans Delphi?

Question

Chaque fois que j'essaie d'exécuter ce code, il renvoie une erreur de syntaxe, j'ai suivi quelques formats de ce qui a été posté ici, mais rien de ce que je fais ne semble fonctionner. Comment puis-je réparer cela?

with adoQuerysupplier do             
begin 
sql.Clear; 
sql.Add('UPDATE SupplierList'); 
SQL.Add('SET :Column = :newdetail'); 
SQL.Add('WHERE :Column1 = :OldDetail'); 
Parameters.ParseSQL(adoQuerysupplier.SQL.Text, True); 
Parameters.ParamByName('Column').Value:= column; 
Parameters.ParamByName('Column1').Value:= column; 
Parameters.ParamByName('newdetail').Value:= newdetail; 
Parameters.ParamByName('OldDetail').Value:= olddetail; 
ExecSQL; 

Toutes les variables sont des chaînes et sont capturées avec succès. C'est ma première question donc je m'excuse d'avance si j'ai des erreurs de format. S'il vous plaît laissez-moi savoir si je dois poster plus de code. Le nom de la table n'est pas une variable

Answer 1

Vous ne pouvez pas utiliser de paramètres pour les noms de champs. Si vous avez vraiment besoin de faire cela, vous devez écrire une grosse déclaration de commutateur. alternativement construire la requête comme une chaîne:

sql.Add('UPDATE SupplierList'); 
SQL.Add('SET [' + column2 + '] = :newdetail'); 
SQL.Add('WHERE [' + column1 + '] = :OldDetail'); 
Parameters.ParseSQL(adoQuerysupplier.SQL.Text, True); 
Parameters.ParamByName('newdetail').Value:= newdetail; 
Parameters.ParamByName('OldDetail').Value:= olddetail; 

Envisager une injection SQL possible!