【中級】文字列結合の悪夢から脱却せよ：DAO.QueryDefでパラメータクエリを安全かつ最速で実行する極意
開発現場でこんなコードを見たことはないだろうか。
‘ 【アンチパターン】絶対にやってはいけない文字列結合によるSQL生成
strSQL = “SELECT FROM T_受注明細 WHERE 顧客ID = ” & Me.txtCustomerID & ” AND 注文日 >= #” & Me.txtDateFrom & “#;”
Set rs = CurrentDb.OpenRecordset(strSQL)
一見、動くからよしと見過ごされがちだが、この書き方はエンジニアの観点からは「技術的負債の爆弾」を抱えているに等しい。
入力値にシングルクォートが含まれていれば構文エラー（あるいはSQLインジェクションの脆弱性）を引き起こし、日付の書式（`#`の囲みやUS形式の強制）で環境依存のバグを踏む。さらに、AccessのクエリプロセッサはSQL文が文字単位で変わるたびに実行計画を再コンパイル（プランキャッシュの破棄）するため、パフォーマンスも最悪だ。
今回は、DAOの `QueryDef` オブジェクトを駆使し、「型安全」「高速」「堅牢」なパラメータクエリをVBAから操るための極限の知見を伝授する。実務の最前線で戦うプロフェッショナルなら、今日からこの手法に切り替えてほしい。
—
なぜ `CurrentDb.QueryDefs` とパラメータ指定なのか？
Access VBAにおけるデータベース操作の基本は `CurrentDb` だが、これを漫然と使ってはならない。
`CurrentDb` は呼び出すたびにデータベースへの新しい一時的な参照を生成する。つまり、前述のようにループ内で文字列結合したSQLを投げると、その都度パースとコンパイルが発生し、Accessの内部エンジン（ACE）に多大な負荷をかける。
ここで登場するのが `DAO.QueryDef` だ。
事前にデザインビュー等でパラメータ付きのクエリ（あるいはVBAから動的に作成・キャッシュするクエリ）を定義し、パラメータオブジェクトに対して直接値をバインドする。
これにより、以下の圧倒的なメリットがもたらされる。
1. SQLインジェクションの完全な無効化：値はあくまで「パラメータ」として渡されるため、SQLの一部として解釈される余地がない。
2. エスケープ地獄からの解放：日付、文字列、数値の型変換やクォートの囲み方に悩む必要がなくなる。DAOが適切に型を解決する。
3. 実行計画の最適化（パフォーマンス向上）：クエリ構造が固定されるため、データベースエンジンは一度生成した実行計画を再利用できる。
—
実践：プロダクションコードで学ぶ実装パターン
実務でそのまま使える、堅牢性と保守性を極限まで高めた実装例を示す。
ここでは、画面（フォーム）から条件を受け取り、安全にパラメータクエリを実行して結果を取得するパターンをコード化している。
1. 事前準備（Accessのクエリデザイン）
あらかじめ、Accessのクエリビルダーで以下のようなSQLを持つクエリを作成しておく。
クエリ名：`qry_GetCustomerOrders`
PARAMETERS prmCustomerID Long, prmDateFrom DateTime;
SELECT
FROM T_受注明細
WHERE 顧客ID = [prmCustomerID]
AND 注文日 >= [prmDateFrom];
ポイント：先頭に `PARAMETERS` 宣言を記述し、パラメータのデータ型を明確に定義しておくこと。これが堅牢な設計の第一歩だ。
2. VBA実装コード
Option Compare Database
Option Explicit
‘ =========================================================================
‘ 処理名 : ExecuteParamQuerySample
‘ 概要 : QueryDefとパラメータを使用した安全かつ高速なクエリ実行サンプル
‘ 備考 : 開発プロジェクトのリーダー推奨パターン
‘ =========================================================================
Public Sub ExecuteParamQuerySample()
Dim db As DAO.Database
Dim qdf As DAO.QueryDef
Dim rs As DAO.Recordset
On Error GoTo ErrorHandler
‘ 1. CurrentDbを変数に保持（パフォーマンスと参照整合性の維持）
Set db = CurrentDb
‘ 2. QueryDefオブジェクトの取得
‘ ※毎回CurrentDb.QueryDefsと書くのは冗長かつ非効率なので変数にバインドする
Set qdf = db.QueryDefs(“qry_GetCustomerOrders”)
‘ 3. パラメータに安全に値を代入
‘ フォームコントロールの値を直接渡す（型不整合があればこの時点でVBAが検知する）
If Not IsNull(Me.txtCustomerID) Then
qdf.Parameters(“prmCustomerID”).Value = Me.txtCustomerID
Else
‘ 必須パラメータが空の場合のガード
MsgBox “顧客IDが入力されていません。”, vbCritical, “入力エラー”
GoTo Cleanup
End If
If IsDate(Me.txtDateFrom) Then
qdf.Parameters(“prmDateFrom”).Value = CDate(Me.txtDateFrom)
Else
qdf.Parameters(“prmDateFrom”).Value = #2000/01/01# ‘ デフォルト値や許容値のフォールバック
End If
‘ 4. レコードセットのオープン（dbOpenSnapshotで読取専用・高速化を図る）
Set rs = qdf.OpenRecordset(dbOpenSnapshot)
‘ 5. 結果の処理
If rs.EOF Then
MsgBox “該当するデータは存在しません。”, vbInformation, “通知”
Else
‘ 簡易的にレコード件数をイミディエイトウィンドウに出力
rs.MoveLast
Debug.Print “取得件数: ” & rs.RecordCount & ” 件”
‘ 必要に応じてここにデータ処理ループを展開
‘ Do While Not rs.EOF … rs.MoveNext Loop
End If
Cleanup:
‘ 6. オブジェクトの明示的な解放（メモリリーク・リソース 枯渇の防止）
If Not rs Is Nothing Then
rs.Close
Set rs = Nothing
End If
Set qdf = Nothing
Set db = Nothing
Exit Sub
ErrorHandler:
MsgBox “予期せぬエラーが発生しました。” & vbCrLf & _
“エラー番号: ” & Err.Number & vbCrLf & _
“エラー内容: ” & Err.Description, vbCritical, “システムエラー”
Resume Cleanup
End Sub
—
レイヤーの高い設計を行う上で、上記のコードにはプロの流儀が随所に散りばめられている。
- `CurrentDb` のローカル変数化
`CurrentDb` をプロパティとして何度も直接叩くと、その都度COMオブジェクトのオーバーヘッドが発生する。一度 `DAO.Database` 型の変数に受けて使い回すのは、Access VBA高速化の基本中の基本である。
- `dbOpenSnapshot` の採用
データを更新する意図がない（参照系）のならば、迷わずスナップショット（`dbOpenSnapshot`）を開くべきだ。ダイナセットやテーブル形式に比べてロック競合が起きず、ネットワークやメモリの負荷が劇的に軽減される。
- 厳格なリソース解放
Access VBAはガベージコレクションが万能ではない。特に `Recordset` や `QueryDef` の参照を残したままにすると、内部ロックやメモリリークの原因になる。`Cleanup:` ラベルを用意し、必ず `Nothing` を代入する構造を習慣化してほしい。
—
さらに一歩進む：動的SQLを安全に構築する `CreateQueryDef` の裏技
「検索条件が動的に変わりすぎて、あらかじめ固定のクエリを作れない」というジレンマに直面することもあるだろう。
そんな時は、データベースのクエリコンテナに永続保存するのではなく、名前を持たない一時的な `QueryDef` オブジェクトをVBAのメモリ上で動的に生成してパラメータをバインドするという高度なテクニックがある。
Dim qdfDynamic As DAO.QueryDef
Dim strSQL As String
‘ 基本のSQL構造を用意（WHERE句の条件項目を変数で組み立てる場合でも、値は埋め込まない）
strSQL = “SELECT FROM T_受注明細 WHERE 顧客ID = [prmID];”
‘ 名前を省略（””）してQueryDefを作成すると、一時的なオブジェクトになる
Set qdfDynamic = CurrentDb.CreateQueryDef(“”, strSQL)
‘ パラメータに値を安全にセット
qdfDynamic.Parameters(“prmID”).Value = Me.txtCustomerID
Set rs = qdfDynamic.OpenRecordset(dbOpenSnapshot)
‘ … 処理 …
この手法を使えば、文字列結合で値を直に埋め込むリスクを冒さず、かつ柔軟な動的クエリの構築とパラメータバインディングを両立できる。中級者から上級者へステップアップするための強力な武器となるはずだ。
—
アーキテクトからの総括
「動けばいい」という妥協の産物である文字列結合のSQLは、システムが成長し、データ量が増え、ユーザーが増えた瞬間に必ずシステムを崩壊させる。
DAO.QueryDefとパラメータクエリの活用は、単なるテクニックではなく、「堅牢なシステムを構築するためのエンジニアリングの姿勢」そのものだ。
今日からあなたのプロジェクトのコードベースから文字列結合によるクエリ実行を駆逐し、美しく、安全で、圧倒的に高速なデータベースアクセスを実装してほしい。
