Seltsamer Fehler bzgl. Parameterobjekt

[Dejan Vu]

Zitat von p80286:

Hast Du vllt. den Gag übersehen?

Nope. Aber Du schreibst.

Zitat von p80286:

U.U. ist der Klartext

Code:

select id from data where text='mit doppelpunkt:'

und das wird dann als Parameter interpretiert.

Und darauf bin ich dann eingegangen. Wenn hier also einer den Gag nicht verstanden hat, dann... ach ist doch egal.

Wenn man das allerdings ausprobiert, sieht man, das alles wie gewünscht funktioniert.

Die vom Fragesteller beobachtete Problematik kenne ich nicht und kann mir das auch nicht vorstellen, denn die Query wird vor der Ausführung geparst, ergo beziehen sich alle Probleme bezüglich der Parameter auf den Zeitpunkt *vor* der Ausführung.

Was sein kann ist, das das Dataset mit einem anderen Dataset verknüpft ist und dort dann der Hund begraben liegt. Man kann die ja so verknüpfen, das beim Record-Wechsel in DS1 eine neue parametrierte Query DS2 ausgeführt wird (Datasource-Eigenschaft von DS2 setzen. Dann könnte ein 'Locate' im DS1 zu Problemen führen (wenn die Query in DS2 fehlerhaft ist). Soweit ich mich erinnere muss der Parameter in DS2 einem Feldnamen in DS1 entsprechen.

Aber das ist alles nur Ratenspiel bzw. müsste man das ausprobieren, aber dazu habe ich jetzt keine Lust.

Delphi-Quellcode:

DS1 := 'Select MasterID, moreData from MasterTable';
DataSource1.Dataset := DS1;
DS2.DataSource := DataSource1;
DS2.SQL.Text := 'Select * from Details where MasterID = :MasterID';

Das mal testen. Und dann im DS2.SQL den Parameternamen ändern oder ein Leerzeichen zwischen ':' und 'M' setzen (damit das zu Problemen führt). Dann DS1 öffnen und wieder per Locate wechseln (obwohl das Locate überflüssig wäre, denn es knallt schon beim Öffnen von DS2)

[Jumpy]

Sorry, war gestern nicht mehr online und konnte das nicht weiter ausführen.

Die Tabelle enthält Textbausteine für meine Web-CGI, quasi ein Mini-CMS für Arme.
Sobald aus dem Webrequest ersichtlich ist, welche neue Web-Seite angefordert wurde, wird die Query geöffnet, die da lautet:

SQL-Code:

Select * From
  Webtexte
Where
  Seite='*'
  or Seite='Name der angeforderten Seite'
  or Kategorie='Menuitem'

Das einzige was an dem Statement variabel ist ist der Name der angeforderten Seite. In Delphi sieht die Stelle so as:

Code:

Webtexte.SQL.Add('or Seite = ');
Webtexte.SQL.Add(QuotedStr(GetPagename(RequestedPage)));

Die GetPagename-Funktion liefert nur definierte Namen zurück, so dass ich mich nicht um SQL-Injektion o.ä. sorgen musste und keine Parameter benutze!
Wie man sieht enthält auch die Where-Klausel keinen Vergleich mit einem Text der einen Doppelpunkt enthält.

Es gibt dann eine Funktion, die aus der bereits ohne Fehler geöffneten Datenmenge einen Textbaustein anhand der ID sucht und in dieser tritt mMn der Fehler auf. Sinngemäß (hab Delphi noch nicht auf):

Delphi-Quellcode:

function GetContentFromID(ID:String):String;
begin
  if Webtexte.Active then
    begin
    Webtexte.Locate('ID',ID,[]);
    Result:=Webtexte.FieldByName('DE').AsString;
    end;
end;

Es werden während der Laufzeit der CGI mehrere Textbausteine mit verschiedenen ID's aus der Datenmenge geladen, daher weiß ich, dass diese sich auf jeden Fall öffnet. Nur halt der eine Datensatz, der einen Doppelpunkt enthält, macht halt Probleme. Der Text in dem Datensatz ist:
"Gehen Sie dabei wie folgt vor:"
Laß ich den Doppelpunkt weg, funzt halt alles.

Ich hoffe so wird klarer warum ich das nicht nachvollziehen kann.

[mkinzler]

Vor Seite fehlt höchstwahrscheinlich ein Leerzeichen, bze es schadet nicht dort eins einzufügen

Webtexte.SQL.Add(' or Seite = '); Zudem würde ich, wie auch schon mehrmals genannt, Parameter verwenden!

[Sherlock]

Dadurch das SQL.Add eine neue Zeile (tatsächlich einen neuen String in die StringListe, ich weiss) einfügt ist das Leerzeichen vor dem 'or' überflüssig.
Es sei denn natürlich, die verwendeten DB-Komponenten klöppeln daraus einen einzigen zusammenhängenden (nicht durch CR getrennten) String.

Sherlock

[mkinzler]

Zitat:

Dadurch das SQL.Add eine neue Zeile (tatsächlich einen neuen String in die StringListe, ich weiss) einfügt ist das Leerzeichen vor dem 'or' überflüssig.

Nein ist er nicht.

Zitat:

Es sei denn natürlich, die verwendeten DB-Komponenten klöppeln daraus einen einzigen zusammenhängenden (nicht durch CR getrennten) String.

Müssen sie ja, da das Statement an den SQL-Server weitergeben.

[Sherlock]

Zitat von mkinzler:

Zitat:

Dadurch das SQL.Add eine neue Zeile (tatsächlich einen neuen String in die StringListe, ich weiss) einfügt ist das Leerzeichen vor dem 'or' überflüssig.

Nein ist er nicht.

Zitat:

Es sei denn natürlich, die verwendeten DB-Komponenten klöppeln daraus einen einzigen zusammenhängenden (nicht durch CR getrennten) String.

Müssen sie ja, da das Statement an den SQL-Server weitergeben.

Ist nicht wahr, oder? Gott, jetzt merk ich mal wieder wie sehr Oracle einen verwöhnt.

Sherlock

[p80286]

Zitat von Sherlock:

Ist nicht wahr, oder? Gott, jetzt merk ich mal wieder wie sehr Oracle einen verwöhnt.

Ist wohl weniger Oracle als die verwendeten Treiber. Ohne White Spaces hagelt es bei mir auch Fehlermeldungen.

Gruß
K-H

[Blup]

Zitat von Jumpy:

Das einzige was an dem Statement variabel ist ist der Name der angeforderten Seite. In Delphi sieht die Stelle so as:

Code:

Webtexte.SQL.Add('or Seite = ');
Webtexte.SQL.Add(QuotedStr(GetPagename(RequestedPage)));

Die GetPagename-Funktion liefert nur definierte Namen zurück, so dass ich mich nicht um SQL-Injektion o.ä. sorgen musste und keine Parameter benutze!
Wie man sieht enthält auch die Where-Klausel keinen Vergleich mit einem Text der einen Doppelpunkt enthält.

Gerade das sieht man eben nicht, definierte Namen könnten auch Doppelpunkte enthalten.
SQL-Injektion ist eben nur ein (seltener) Grund und warum mit Parametern gearbeitet wird.
Auf jeden Fall kann man mit Parametern diese Fehlerquelle erst einmal ausschließen.

Wenn konkret ein bestimmter Datensatz auf Grundlage der ID benötigt wird, bietet es sich doch an, einfach nur diesen Datensatz mit einer zusätzlichen Abfrage zu holen.
Ein Problem mit Zeilenumbrüchen ist mir nicht bekannt, es spricht aber auch nichts dagegen die einzelnen Bedingungen zu klammern, ist für mich lesbarer.

Auf jeden Fall hilft es nicht alle Vorschläge wegzudiskutieren, ausprobieren bringt dich weiter.

[Sir Rufo]

Also ich habe das mal versucht nachzustellen, konnte aber keine Probleme diesbezüglich feststellen.

Doppelpunkte im Text können mit Locate einwandfrei gefunden werden.

[p80286]

Zitat von Jumpy:

SQL-Code:

Select * From
  Webtexte
Where
  Seite='*'
  or Seite='Name der angeforderten Seite'
  or Kategorie='Menuitem'

dieses

Code:

Seite='*'

erscheint mir aber sehr obskur.
Und bei jeder Abfrage alle MenueItems?

Zitat von Jumpy:

"Gehen Sie dabei wie folgt vor:"
Laß ich den Doppelpunkt weg, funzt halt alles.

Ich hoffe so wird klarer warum ich das nicht nachvollziehen kann.

Leider nicht, Ich habe auch gerade versucht, das nach zu vollziehen konnte das Fehlverhalten allerdings auch nicht provozieren.

Ich denke es wird langsam Zeit für den Debugger.

Gruß
K-H