Access VBAの深淵へ：動的SQLを「安全」に操り、プロの領域へ足を踏み入れよう
こんにちは。Accessの迷宮を探索する皆さんに、今日は「SQLの動的生成」という、少し刺激的で、かつ避けては通れない領域についてお話しします。
「マクロの記録」から卒業し、自分でVBAを書くようになると、誰もが一度はこう思います。
「条件によってSQLを書き換えたい！」
例えば、ユーザーが選んだ日付や部門に応じて抽出結果を変える――これこそがAccessアプリの醍醐味です。しかし、ここでSQLインジェクションという魔物が潜んでいることを知っているエンジニアは、ほんの一握り。
今日は、`CurrentDb.QueryDefs` を使いこなし、安全かつエレガントにクエリを動的生成する方法を伝授します。ここをクリアすれば、あなたのAccess開発は「動くもの」から「堅牢なシステム」へと進化します。
—
1. なぜ「文字列結合」のSQL生成は危険なのか？
多くの初心者がやりがちなのが、SQLを文字列として結合する方法です。
‘ 危険な例：絶対やってはいけない書き方
strSQL = “SELECT FROM T_受注 WHERE 顧客名 = ‘” & Me.txt顧客名.Value & “‘;”
もし、ユーザーが「顧客名」の入力欄に `’ OR ‘1’=’1` なんて入力したらどうなるでしょう？ 条件が全件一致に書き換えられ、データベースが丸裸にされます。これがSQLインジェクションです。
これを防ぐための「聖域」が、パラメータクエリです。
—
2. 賢者の選択：QueryDefsとParametersコレクション
`QueryDefs` は、Accessに保存されたクエリの設計図を操作するオブジェクトです。これを使えば、SQLを文字列で無理やり繋ぐのではなく、「パラメータ」という穴を開けておき、そこに値を安全に流し込むことができます。
実践：安全な動的SQLの構築手順
まずは、クエリのデザインビューで以下のようなSQLを持つクエリ（例：`qry_売上抽出`）を作成しておいてください。
SELECT FROM T_売上 WHERE 受注日 BETWEEN [p_開始日] AND [p_終了日];
この `[p_開始日]` と `[p_終了日]` が、いわば「値の入り口」です。
究極の書き換えコード
このクエリをVBAから安全に操作するコードがこちらです。
Public Sub RefreshQueryParam()
Dim db As DAO.Database
Dim qdf As DAO.QueryDef
‘ データベースオブジェクトを正しく参照
Set db = CurrentDb
‘ クエリ定義をセット
Set qdf = db.QueryDefs(“qry_売上抽出”)
‘ パラメータに値をセット（型が自動で安全に処理される）
qdf.Parameters(“p_開始日”) = Me.txt開始日.Value
qdf.Parameters(“p_終了日”) = Me.txt終了日.Value
‘ ここで実行、またはフォームのレコードソースに指定する
‘ Set Me.Recordset = qdf.OpenRecordset()
Debug.Print “クエリを安全に更新しました。”
‘ 後始末（オブジェクトの解放は礼儀です）
Set qdf = Nothing
Set db = Nothing
End Sub
—
3. なぜこれが「最強」なのか？
このコードが優れている理由は3つあります。
1. SQLインジェクションを無効化: 値はSQL文の一部ではなく、「パラメータ値」としてデータベースエンジンに渡されます。悪意のある文字列を入力されても、それは単なる「データ」として扱われ、コマンドとして実行されることはありません。
2. 型安全: 日付型や数値型をVBA側で適切に扱えば、データベース側もそれを正しく受け取ります。文字列結合で発生する「日付の形式エラー（#が足りない等）」に悩まされることもありません。
3. 可読性と保守性: SQL文の中に複雑な文字列結合が混ざらないため、後から見た時に「何をしているか」が一目瞭然です。
—
4. 陥りやすいエラーと解決のヒント
最後に、皆さんが突き当たるであろう壁と、その突破口を紹介します。
- 「パラメータが見つかりません」エラー:
- 原因：SQL文内の `[p_名前]` と `qdf.Parameters(“p_名前”)` のスペルミスです。
- 対策：SQL文をコピーして、VBAのコードに貼り付けるのが最も確実です。
- 「CurrentDbは重いのでは？」という懸念:
- 伝説のエンジニアとしてアドバイスするなら、`CurrentDb` は必要な時に呼び出し、使い終わったらすぐ解放する（`Set qdf = Nothing`）のが鉄則です。ループの中で何度も `CurrentDb` を呼び出すのは避けましょう。
—
最後に：エンジニアとしての誇りを持って
「動けばいい」というコードは、誰でも書けます。しかし、「なぜ動くのか」「どうすれば安全なのか」を理解して書かれたコードは、数年後のあなた自身を助け、共に働く仲間を守ります。
今日学んだ `QueryDefs` によるパラメータ管理は、Access VBAという広大な世界への入り口です。ぜひあなたのアプリケーションで、この「安全な扉」を実装してみてください。
あなたの開発ライフが、より知的で、より洗練されたものになることを願っています。何か不明点があれば、いつでもこの場所へ戻ってきてください。準備はいいですか？ さあ、コードを書きましょう！
