यहाँ सररुफो की टिप्पणी से सहमत हूँ। "मैं यह कैसे करूँ?" का सही उत्तर है "ऐसा मत करो; यह करने का यह गलत तरीका है।"
यदि आप इस तरह की क्वेरी में सीधे मूल्यों को चिपकाते हैं, तो हैकर अपनी क्वेरी में ऐसी चीज़ें रखने का तरीका ढूंढ सकते हैं जिनकी व्याख्या इस प्रकार की जाती है एसक्यूएल कमांड। इसे SQL इंजेक्शन के रूप में जाना जाता है , और यह पिछले कुछ दशकों में अरबों डॉलर के नुकसान के लिए जिम्मेदार रहा है। (अतिरंजना नहीं।)
इसे करने का सही तरीका यह है कि पैरामीटर, का उपयोग करके अपने SQL कोड को अपने डेटा से स्पष्ट रूप से अलग किया जाए। इस तरह:
ADOQuery1.SQL.Clear;
//: before an identifier specifies a parameter
ADOQuery1.SQL.Add('SELECT tbl.emailAddress, tbljob.Time FROM '+
'dbwindowwash.tblclient, dbwindowwash.tbljob, dbwindowash.tbljobclientworker '+
'WHERE tbljobclientworker.jobID = tbljob.jobID AND '+
'tbljobclientworker.clientID = tblclient.clientID AND tbljob.Date = :date';
//parse the query and find parameter declarations
ADOQuery1.Prepare;
//set a value for the parameter
ADOQuery1.ParamByName['date'].AsDateTime := TodaysDate;
ADOQuery1.Open
किसी पैरामीटर का मान सेट करने का सटीक सिंटैक्स एक डेटासेट प्रकार से दूसरे में भिन्न हो सकता है, लेकिन यह आपको मूल विचार देना चाहिए।
