Zitat von
s.h.a.r.k:
Sowas darf ich dann aber machen, ohne dass es Probleme mit dem Speicher gibt, oder?
sql := 'SELECT * FROM ' + table + ' WHERE ID = ' + id + ' ORDER BY ' + order; Sowas sollst du
grundsätzlich nicht machen! Das hat nichts mit dem Speicher(n) zu tun, sondern ist eine Frage der Sicherheit und Geschwindigkeit (und wird in 1000 Beiträgen dringend empfohlen):
*
Parameter vermeiden Probleme bei der Formatierung von Zahlen, Datumsangaben oder Hochkommata als Teil von Strings.
* Parameter verhindern
Sql-Injection.
* Ein parametrisierter Befehl, der der
DB schon bekannt ist, muss nicht neu analysiert werden und wird deshalb schneller ausgeführt. Ein Befehl, der z.B. durch die "eingebaute ID" jedesmal anders aussieht, muss jedesmal neu analysiert werden.
Ich hoffe, das ist so klar und eindeutig, dass es nicht mehr in Zweifel gezogen wird. Jürgen