Access VBAを掌握する極限の知見：CurrentDb.QueryDefsによる動的SQLの安全領域
レガシーシステムの最前線に立ち続ける我々にとって、Microsoft Accessは今なお強力なラピッドプロトタイピング・ツールであり、同時に時限爆弾のような側面を持つ諸刃の剣である。
特に、ユーザーからの入力値に応じてクエリの条件を動的に変化させる「動的SQL」の実装において、安易な文字列連結（String Concatenation）に依存したコードは、システムをSQLインジェクションの脅威に晒すだけでなく、Access特有のデータベースエンジン（ACE/Jet）の内部キャッシュを破壊し、パフォーマンスを劇的に劣化させる。
本稿では、`CurrentDb.QueryDefs` の `.SQL` プロパティを書き換える手法を軸に、セキュリティを担保しつつ、メモリ効率と実行速度を極限まで高める「動的SQLのベストプラクティス」を、プロフェッショナルの視点から解き明かす。
—
1. なぜ「文字列連結によるSQL構築」は悪なのか
多くの初学者、あるいは旧態依然としたコードを書くプログラマは、動的クエリを生成する際に以下のようなアプローチをとる。
‘ 【アンチパターン】絶対にやってはならない実装
Dim strSQL As String
strSQL = “SELECT FROM T_Order WHERE CustomerName = ‘” & Me.txtInput & “‘;”
CurrentDb.QueryDefs(“Q_Order_Dynamic”).SQL = strSQL
このコードには、致命的な脆弱性と構造的欠陥が同居している。
1. SQLインジェクション（Security Vulnerability）
`Me.txtInput` に悪意ある文字列（例: `’ OR ‘1’=’1` や不正なSQL文）が入力された場合、クエリの構造が意図せず書き換えられ、データ漏洩や破壊を引き起こす。
2. クエリプランのキャッシュ汚染と肥大化（Performance Degradation）
Access/Jetエンジンは、実行されたSQLのクエリプラン（実行計画）をキャッシュする。SQL文の文字列そのものが毎回変化すると、キャッシュヒット率がゼロになり、エンジンは毎回パースと最適化を強制される。これが原因で `.mdb` / `.accdb` ファイルのシステム領域（SysObjects等）が肥大化し、データベース全体のパフォーマンスが崩壊する。
—
2. パラメータクエリ（QueryDefs）による安全領域の構築
SQLインジェクションを防ぎ、かつクエリプランを再利用するための唯一にして最大の解法が、「QueryDefオブジェクトへのパラメーター明示的な定義」である。
動的SQLといえども、SQLの骨格（Structural Skeleton）は固定し、可変な値の部分はパラメータとしてACEエンジンに渡さなければならない。
アーキテクチャの設計思想
- 骨格の固定: クエリの基本構造は `QueryDefs` にあらかじめ定義しておく。
- 値の分離: ユーザー入力は文字列としてSQLに埋め込むのではなく、`Parameters` コレクション経由で安全にバインドする。
—
3. 実装コード：極限まで最適化された動的SQL生成エンジン
以下に、実務の現場で即座に採用しうる、堅牢性と速度を極限まで追求したVBAコードを示す。このコードでは、オブジェクトのライフサイクルを完全に制御し、メモリリークを徹底的に排除している。
‘ ==============================================================================
‘ 模块名: Mdl_SecureQueryEngine
‘ 概要: QueryDefsを活用した安全かつ高速な動的パラメータクエリ実行エンジン
‘ ==============================================================================
Option Explicit
Public Sub ExecuteSecureDynamicQuery(ByVal targetCustomer As String, ByVal thresholdDate As Date)
Dim db As DAO.Database
Dim qdf As DAO.QueryDef
Dim strSQL As String
‘ 1. 現在のデータベースインスタンスを取得（CurrentDbの乱用を防ぎ、参照を保持する）
Set db = CurrentDb()
On Error GoTo ErrorHandler
‘ 2. あらかじめ定義されたベースクエリの取得
‘ ※あらかじめデザインビュー等でパラメータの型定義を行っておくことが望ましい
Set qdf = db.QueryDefs(“Q_Secure_Order_Base”)
‘ 3. 必要に応じてSQLの構造自体を動的に切り替える場合（例: 検索条件の追加）
‘ ※値の埋め込みではなく、JOIN句やWHERE句の構造変更のみに留めること
strSQL = “SELECT o.OrderID, o.CustomerName, o.OrderDate, o.Amount ” & _
“FROM T_Orders o ” & _
“WHERE o.CustomerName LIKE [prmCustomer] ” & _
” AND o.OrderDate >= [prmDate] ” & _
“ORDER BY o.OrderDate DESC;”
‘ QueryDefのSQLを更新（構造の動的変更）
qdf.SQL = strSQL
‘ 4. パラメータへの安全な値のバインド（型安全性の確保）
‘ 文字列連結を行わないため、SQLインジェクションは物理的に不可能となる
qdf.Parameters(“prmCustomer”) = “%” & targetCustomer & “%”
qdf.Parameters(“prmDate”) = thresholdDate
‘ 5. レコードセットの取得と処理（必要に応じたデータ操作）
Dim rs As DAO.Recordset
Set rs = qdf.OpenRecordset(dbOpenSnapshot) ‘ 読取専用のスナップショットでメモリ消費を最小化
If Not (rs.BOF And rs.EOF) Then
Debug.Print “レコード件数: ” & rs.RecordCount
‘ ここにデータ処理ロジックを記述
Else
Debug.Print “該当するデータはありません。”
End If
CleanUp:
‘ 6. オブジェクトの明示的解放（VBA/COMコンポーネントのライフサイクル管理）
‘ ガベージコレクションに頼らず、スコープ抜ける前に必ず破棄する
If Not rs Is Nothing Then
rs.Close
Set rs = Nothing
End If
If Not qdf Is Nothing Then
Set qdf = Nothing
End If
If Not db Is Nothing Then
Set db = Nothing
End If
Exit Sub
ErrorHandler:
MsgBox “予期せぬエラーが発生しました: ” & Err.Description, vbCritical, “System Error”
Resume CleanUp
End Sub
—
4. シニアエンジニアが押さえるべき「裏の知見」
上記のコード実装に加え、大規模なAccessシステムを運用する上で知っておくべきハードコアな知見を共有する。
A. `CurrentDb` の評価コストと参照の保持
コード内で `CurrentDb` を何度も呼び出すのは悪手である。`CurrentDb` は呼び出されるたびに新しい `Database` オブジェクトを内部的に生成・破棄（COMのインターフェイス生成コスト）しており、これがパフォーマンス劣化の原因となる。必ず冒頭で変数に代座させ、スコープ内で使い回すこと。
B. スナップショット（`dbOpenSnapshot`）の徹底
動的クエリの結果を参照するだけの用途であれば、デフォルトのダイナセット（`dbOpenDynaset`）ではなく、スナップショット（`dbOpenSnapshot`）を使用せよ。ロック機構や更新情報の追跡が省かれるため、メモリ消費量が劇的に削減され、ネットワーク越し（ファイルサーバー上）のバックエンドMDB/ACCDBにアクセスする際のトラフィックを最小限に抑えられる。
C. クエリDefs書き換えによる「Bloat（肥大化）」対策
`QueryDefs(…).SQL = …` を頻繁に書き換えると、Accessデータベースファイル（.accdb）内部のシステムテーブルがフラグメンテーションを起こし、ファイルサイズが異常肥大化する。
これを防ぐため、動的に変化させるSQLのパターンは有限（例えば最大でも数パターン）に絞り、それぞれに対応するベースクエリをあらかじめ複数用意しておく設計が、長期運用における唯一の防衛策である。
—
5. 結言
Access VBAというレガシーな環境であっても、エンジニアの意志とアーキテクチャの理解度次第で、モダンなWebアプリケーションに匹敵する堅牢性とパフォーマンスを引き出すことは十分に可能である。
「動的SQL ＝ 文字列連結」という安易な思考を捨て、`QueryDefs` とパラメータバインディングを完全掌握すること。それこそが、現場の信頼を勝ち得続けるプロフェッショナルのコードベースである。
