Zweite Zeile SQLite ansprechen

[himitsu]

Grundsätzlich sollte doch langsam bekannt sein, daß im "kompilierten" Programm keine Variablennamen mehr existieren und selbst wenn, woher soll der Code, innerhalb des ExcecSql-Befehls wissen welche Variable mit dem Namen "a" gemeint ist, wenn es die Codestelle doch nicht kennt, wo das A deklariert/zugänglich ist.
Man muß also die Variable oder den Kontext (z.B. ein Daten-Objekt) übergeben.

Und wenn du das "a" nunmal nicht als Parameter/Variable deklarierst, dann ist es doch klar, daß es an dieser Stelle, von der Syntax her, nur ein Feld sein kann, und da es kein Feld "a" in der Tabelle gibt, muß es auch knallen.

Wir haben uns ein eigenes ExecSql geschrieben function xxx.ExceSql(Query: string; Params: array of variant); , welches die übergebenen Parameter an Params übergibt.

Delphi-Quellcode:

SQLBefehl := 'INSERT INTO Spieler (Koordinaten, Spielername) VALUES (:a, "BenneX")';
DataBase.ExecSql(SQLBefehl, [a]);

Der Parametername ist hier natürlich egal, da rein auf den Index gegangen wird, also der erste Parameter-Wert geht auch an den ersten Parameter im SQLBefehl.

Delphi-Quellcode:

b := 'Position';
a := 'Spieler';
SQLBefehl := 'INSERT INTO Spieler (Koordinaten, Spielername) VALUES (:a, :b)';
DataBase.ExecSql(SQLBefehl, [b, a]); 

SQLBefehl := 'INSERT INTO Spieler (Koordinaten, Spielername) VALUES (:position, :name)';
DataBase.ExecSql(SQLBefehl, [b, a]);

[/delphi]

[p80286]

Zitat von himitsu:

... woher soll der Code, innerhalb des ExcecSql-Befehls wissen welche Variable mit dem Namen "a" gemeint ist, wenn es die Codestelle doch nicht kennt, wo das A deklariert/zugänglich ist.

Es ist doch noch viel schlimmer. "a" ist ein Bezeichner aus dem SQL-Universum, das hat mit dem Programm nichts aber auch garnichts zu tun.

Und sonst ist nur noch zu sagen Parameter,Parameter,Parameter.........


Gruß
K-H

[BenneX]

Hallo,

danke für die Antworten. Ich arbeite mich im Moment Schritt für Schritt in die Materie ein.
Jeder Anfang ist schwer

War ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

Grüße, BenneX.

[himitsu]

Zitat von BenneX:

Was ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

SQL-Injection

Man kann über den String "a" alles mögliche in das SQL einschleusen.
a := '*", "BenneX"); DROP DATABBASE xxx; SELECT COALESCE("';
Also müsstest du den Inhalt dieser Variable prüfen und sicherstellen, daß nichts Böses drin sein könnte,
während man keine Probleme hätte, wenn es als Parameter übergeben wird.

[mkinzler]

Das ist aber nur einer der Vorteile, weitere wären (allgemein; kommt auf DBMS und Bibliothek/Wrapper an):
-automatische Anpassung von Formaten (Datum, Zeit, ...)
-automatische Typkonvertierungen bzw. Konvertierung nach String unnötig ( welche ja auch das Formatproblem birgt)
-Beschleunigung bei mehrfacher Ausführung durch Vorbereitung (Prepare): Die Abfrage wird ohne Werte vorbereitet ( Plan usw.) vor der Ausführung werden nur noch die Parameterwerte übertragen und die vorbereitete Abfrage mit dieser Wertekombination ausgeführt.
...

[BenneX]

Zitat von himitsu:

Zitat von BenneX:

Was ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

SQL-Injection

Man kann über den String "a" alles mögliche in das SQL einschleusen.
a := '*", "BenneX"); DROP DATABBASE xxx; SELECT COALESCE("';
Also müsstest du den Inhalt dieser Variable prüfen und sicherstellen, daß nichts Böses drin sein könnte,
während man keine Probleme hätte, wenn es als Parameter übergeben wird.

Okay, das leuchtet mir ein. Werde versuchen mit Parameter zu arbeiten. (Sofern ich es hinbekomme)

Grüße!