repetir consulta para mas de una tabla

[Casimiro Noteví]

¿Para qué base datos?
¿Desde SQL (base de datos) o desde Delphi?

[jsc]

Empezado por Casimiro Notevi

¿Para qué base datos?
¿Desde SQL (base de datos) o desde Delphi?

Hola
Seria desde delphi7 y estoy utilizando componentes ADOQuery
Probe con:

 adoquery1.sql.add (select * from :tab where :campo Is Null)
Adoquery1.parameters.parambyname('tab').value:=combobox1.text;

pero no funciona y como digo en el hilo que puse se trataba el tema y parece que no era muy seguro por problemas con inyeccion de sql... si mal no recuerdo
Antes de ejecutar la consulta,utilizo dos combobox y en ellos cargo los nombres de las tablas de la bd.
Asi, mas tarde la intencion es en cada uno de ellos seleccionar la tabla origen, la tabla destino y poder comparar los datos entre otras cosas.
En un momento dado la origen y destino puede ser una y en otro momento purde ser otra. De ahi el interes de poder hacer la consulta lo mas flexible posible.
Si no, se me ocurre hacer para cada tarea un menu con las diferentes opciones, pero a nivel de prigramacuon no creo que sea lo ideal
Agradezco de antemano cualquier sugerencia

[jsc]

ante todo disculpad mi ignorancia en este tema;

en el post que puse mas arriba habia un enlace a un hilo que trataba de inyeccion sql.
he recuperado un post de ese hilo con este enlace http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL que me parece muy interesante pero que lamentablemente poco entiendo
el problema que expuse en este hilo lo he solucionado de esta manera:

Código Delphi [-]

procedure openADOQuery (ADOQuery:TObject);
begin
   with frmadmin do
      WITH ADOQuery as TADOQuery do
      begin
         IF NOT prepared
            then
               begin
                  close ;prepared;
                  open
               end
            else open ;
      end;
end;

procedure muestratodosdatos () ;
var torigen,tdestino:string;
begin
   with frmadmin do
   begin
TRY
      torigen:= cbtold.text ;
      WITH ADOQuery1 do
      begin
         close ;sql.clear ;parameters.clear ;
         sql.add('SELECT * FROM '+torigen);
         openADOQuery (ADOQuery1);
         lold.Caption := inttostr(recordcount) ;
      end;
   EXCEPT on exception do MessageDlg ('Errores al cargar los datos',mtWarning,[mbOk],0) ;
   END;
...

esto me ha funcionado pero me preocupa el tema de la inyeccion sql; de esta manera quedaria el codigo expuesto a que software malicioso atacara la aplicacion y que por consiguiente esta fuera vulnerable?

vamos; otro ejemplo, con este codigo:

...
ADOQuery1.sql.add ('SELECT campo1,campo2 FROM tabla WHERE condicion =:parametro');
ADOQuery1.parameters.parambyname('parametro').value := unvalor ;
...

la aplicacion seria vulnerable a ataques?

repito, disculpad mi ignorancia
gracias y saludos,

[Casimiro Noteví]

Pero no mezcles las cosas, ahora no se sabe qué has preguntado ni de lo que trata el hilo

[jsc]

Empezado por Casimiro Notevi

Pero no mezcles las cosas, ahora no se sabe qué has preguntado ni de lo que trata el hilo

lo siento,
la cuestion que pregunto es si con el codigo que he puesto arriba, la aplicacion es segura y no vulnerable a ataques de inyeccion sql.
como podreis imaginar los datos almacenados en la bd tienen que ser CONFIDENCIALES y no pueden estar expuestos a que cualquiera pueda alterarlos, leerlos...

no repito el codigo otra vez esta arriba, pero esto es una pincelada

   sql.add('SELECT * FROM '+torigen);

...
ADOQuery1.sql.add ('SELECT campo1,campo2 FROM tabla WHERE condicion =:parametro');
ADOQuery1.parameters.parambyname('parametro').value := unvalor ;
...

[Casimiro Noteví]

Con parámetros, es lo más seguro.

[jsc]

Empezado por Casimiro Notevi

Con parámetros, es lo más seguro.

muchas gracias Casimiro Notevi
deduzco entonces que esto es seguro

...
ADOQuery1.sql.add ('SELECT campo1,campo2 FROM tabla WHERE condicion =:parametro');
ADOQuery1.parameters.parambyname('parametro').value := unvalor ;
...

pero en cambio la parte de codigo que contiene esto otro no lo es:

 sql.add('SELECT * FROM '+torigen);

probe esto pero me da error de syntaxis en la clausula FROM

sql.add('SELECT * FROM :torigen');
parameters.parambyname('torigen').value := combobox1.text ;

combobox1.text coge el nombre de la tabla

si estoy en lo cierto, alguna idea de como podria implementarlo para que funcionara y fuera seguro?
gracias nuevamente