Daten variabel in DB speichern

[Balu der Bär]

Moinsen,

mittels folgender Prozedur speichere ich Daten in eine Datenbank:

Delphi-Quellcode:

SQL.Text := 'INSERT INTO TABELLE1 (XYZ_NAME) VALUES (:data);';
ParamByName('data').AsString := data;
ExecSQL;

Funktionsaufruf dann SchreibeDaten('test223445'); Und die Daten werden erfolgreich in Tabelle1 im Feld XYZ_NAME abgespeichert.

Jetzt möchte ich diese Funktion variabel gestalten, also beim Funktionsaufruf die Tabelle und das Feld mit angeben. Praktisch gesehen:

Delphi-Quellcode:

SQL.Text := 'INSERT INTO :table (:field) VALUES (:data);';
ParamByName('table').AsString := table;
ParamByName('field').AsString := field;
ParamByName('data').AsString := data;
ExecSQL;

Funktionsaufruf ist dann: SchreibeDaten('TABELLE1', 'XYZ_NAME', 'test223445'); Klappt leider nicht, was mache ich falsch?

Danke Euch

Zitat:

---------------------------
Benachrichtigung über Debugger-Exception
---------------------------
Im Projekt Project1.exe ist eine Exception der Klasse EZSQLException mit der Meldung 'SQL Error: Dynamic SQL Error SQL error code = -104 Token unknown - line 1, column 13 ?. Error Code: -104. Invalid token The SQL: INSERT INTO ? (?) VALUES (?);; ' aufgetreten.
---------------------------
Anhalten Fortsetzen Hilfe
---------------------------

//Edit: Kann nicht formatieren...

[Dax]

Parameter kann man nur für Werte einsetzen, nicht für Entitätsnamen.

[mkinzler]

Man könnte aber die Abfrage dynamisch in einem execute Block oder einer SP zusammenbauen.

[webcss]

oder einfach:

Delphi-Quellcode:

procedure SchreibeDaten(ATable, AField, AValue:string);
begin
  SQL.Text :=Format('INSERT INTO %s (%s) values(%s)',[ATable,AField,AValue]);
  ExecSQL;
end;

[Dax]

NEIN! Daten packt man grundsätzlich nur über Parameter in ein SQL-Statement, alles andere ist Wahnsinn. Tabellen- und Spaltennamen, die nicht der Kontrolle des Nutzers unterliegen, kann man natürlich so reinsetzen, aber niemals Daten.

[webcss]

Zitat von Dax:

NEIN! Daten packt man grundsätzlich nur über Parameter in ein SQL-Statement, alles andere ist Wahnsinn. Tabellen- und Spaltennamen, die nicht der Kontrolle des Nutzers unterliegen, kann man natürlich so reinsetzen, aber niemals Daten.

Nur weil ich schreibfaul bin.
Dann halt so:

Delphi-Quellcode:

procedure SchreibeDaten(ATable, AField, AValue:string); 
begin 
  SQL.Text :=Format('INSERT INTO %s (%s) values(:data)',[ATable,AField]);
  ParamByName('data').AsString:=AValue; 
  ExecSQL; 
end;

[edit=mkinzler]Tag gefixt Mfg, mkinzler[/edit]

[Balu der Bär]

Ich bedanke mich recht herzlich.