repetir consulta para mas de una tabla

[Casimiro Noteví]

Pero no mezcles las cosas, ahora no se sabe qué has preguntado ni de lo que trata el hilo

[jsc]

Empezado por Casimiro Notevi

Pero no mezcles las cosas, ahora no se sabe qué has preguntado ni de lo que trata el hilo

lo siento,
la cuestion que pregunto es si con el codigo que he puesto arriba, la aplicacion es segura y no vulnerable a ataques de inyeccion sql.
como podreis imaginar los datos almacenados en la bd tienen que ser CONFIDENCIALES y no pueden estar expuestos a que cualquiera pueda alterarlos, leerlos...

no repito el codigo otra vez esta arriba, pero esto es una pincelada

   sql.add('SELECT * FROM '+torigen);

...
ADOQuery1.sql.add ('SELECT campo1,campo2 FROM tabla WHERE condicion =:parametro');
ADOQuery1.parameters.parambyname('parametro').value := unvalor ;
...

[Casimiro Noteví]

Con parámetros, es lo más seguro.

[jsc]

Empezado por Casimiro Notevi

Con parámetros, es lo más seguro.

muchas gracias Casimiro Notevi
deduzco entonces que esto es seguro

...
ADOQuery1.sql.add ('SELECT campo1,campo2 FROM tabla WHERE condicion =:parametro');
ADOQuery1.parameters.parambyname('parametro').value := unvalor ;
...

pero en cambio la parte de codigo que contiene esto otro no lo es:

 sql.add('SELECT * FROM '+torigen);

probe esto pero me da error de syntaxis en la clausula FROM

sql.add('SELECT * FROM :torigen');
parameters.parambyname('torigen').value := combobox1.text ;

combobox1.text coge el nombre de la tabla

si estoy en lo cierto, alguna idea de como podria implementarlo para que funcionara y fuera seguro?
gracias nuevamente

[Casimiro Noteví]

En cuanto a lo de la seguridad, según tengo entendido por lo que he leído, sí, es así.

En cuanto al error, pues no sé, si no pones más código

[jsc]

Empezado por Casimiro Notevi

En cuanto a lo de la seguridad, según tengo entendido por lo que he leído, sí, es así.

En cuanto al error, pues no sé, si no pones más código

Hola nuevamente
Pues el codigo la verdad es que no tiene misterio

Código Delphi [-]
With adoquery do
Begin
  Close;sql.clear;
  parameters.clear;
  Sql.add('select * from :tabla');
  Parameters.parambyname('tabla').value:=combobox1.text;
  Open ;
End

Error:

error de syntaxis en la clausula From

La bd esta en access puede ser ese el problema?
Igual me repito mucho pero habria otra manera de hacerlo garantizando la seguridad?
Necesito que la consulta sea flexible a que el usuario pueda seleccionar las tablas y campos de la bd sobre las que hacer la consulta.
Los software comerciales lo hacen; posible sera pero en el como podriais darme idea?a mi lo que se me ocurrio ya lo he probado pero me da los problemas que ya he descrito en post de mas arriba.
Gracias y saludos

[Casimiro Noteví]

No sé access, pero normalmente el nombre de una tabla no puede ser un parámetro.

Lo de la seguridad, tendrás que explicarte mejor, ¿de qué seguridad estamos hablando?, ¿a qué te refieres con "los software comerciales lo hacen"?
¿A qué te refieres con "necesito que la consulta sea flexible"?
Por cierto, eso de "select * ..." es la primera regla de la ineficiencia, nunca hacer eso.