Variablen übergeben bei insert

[BBoy]

Ich arbeite an diesem Tutorial: https://www.delphi-treff.de/tutorial...d-dbexpress/2/

Nun möchte ich bei diesem Teil:
Testdaten hinzufügen

Delphi-Quellcode:

var FSQLCommandText: String; FSQLDataSet: TDataSet; sStr: String; i: Integer;

Try
  FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel,AutorID,ISBN) VALUES (NULL,"B1",1,"123");';
  SQLConnection.ExecuteDirect(FSQLCommandText);
  FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel,AutorID,ISBN) VALUES (NULL,"B2",1,"456");';
  SQLConnection.ExecuteDirect(FSQLCommandText);
Except On E: EDatabaseError Do ShowMessage(E.Message);
End;

Variablen übergeben. Also anstatt AutorID eine Variable in der die AutorID steht. Wie kann ich das verwirklichen? Denn bisher habe ich nur eine SQLConnection auf dem Formular.
Quasi:

Delphi-Quellcode:

Var Aid = 7;
FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel, Aid, ISBN) VALUES (NULL,"B1",1,"123");';

[hoika]

Hallo,

FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel, Aid,ISBN) VALUES (NULL,"B1",'+IntToStr(MeineId)+',"123");'; oder bei Dir
FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel, Aid,ISBN) VALUES (NULL,"B1",'+IntToStr(AId)+',"123");';

[mkinzler]

Warum keine (SQL-)Parameter?

[himitsu]

Und für Texte ala "B1" muß man mal nachsehen wo sich die Quote-Funktion der DB-Schnittstelle versteckt und muß den String darüber vorher Quoten, bevor man ihn in den SQL-Text einfügt.

Am Besten ist es natürlich immer, wenn die DB-Schnittstelle parametrisierte Abfragen ermöglicht.
Oftmals in etwa so

Delphi-Quellcode:

Query.SQL.Text := 'INSERT INTO Buecher(BuchID, Titel, Aid, ISBN) VALUES (NULL, :Titel, :AId, :ISBN);';
Query.ParamByName('Titel').AsString := 'B1';
Query.ParamByName('Aid').AsInteger := 1;
Query.ParamByName('ISBN').AsString := '123';
Query.Execute;

Is natürlich unschön, dass es hier so nicht geht.

[p80286]

Also wenn is sich z.B. um die ID eines Benutzers handelt
würde ich es so machen:
'INSERT INTO Buecher(BuchID, Titel, Aid, ISBN) VALUES (NULL, :Titel, (select AId from nutzertable where Name=:nutzername), :ISBN);'; bei der direkten Verwendung von IDs ist zu oft etwas schief gegangen.
(zumindestens bei mir)

Gruß
K-H

[BBoy]

wenn man zu kompliziert denkt, kommt man auf so einfache Lösungen nicht

Danke

Zitat von mkinzler:

Warum keine (SQL-)Parameter?

Ist halt so in diesem Tutorial...

[hoika]

Hallo,

SQLConnection.ExecuteDirect(FSQLCommandText);
hat doch keine Parameter-Option oder doch?

aus der Hilfe.

Mit ExecuteDirect können Sie eine SQL-Anweisung ohne Parameter ausführen. Sie umgehen auf diese Weise sowohl die Verwendung einer SQL-Datenmenge als auch die Vorbereitung der Anweisung. Wenn die Anweisung einen Cursor zurückgibt, führt ExecuteDirect sie aus, ohne einen Cursor zurückzugeben.

SQL ist die auszuführende Anweisung.

ExecuteDirect gibt 0 zurück, wenn die Anweisung erfolgreich ausgeführt wurde. Andernfalls wird ein dbExpress-Fehlercode zurückgeliefert.
Anmerkung: Verwenden Sie für SQL-Anweisungen, die Parameter enthalten oder einen Cursor zurückgeben, die Methode Execute.

[BBoy]

Stimmt. Eigentlich wäre SQLConnection.Execute die bessere Wahl. Aber ich denke für meinen einfachen Zweck ist es auch so ok. Sind ja nicht wirklich Parameter bei mir.

[haentschman]

Hallöle...

Zitat:

Aber ich denke für meinen einfachen Zweck ist es auch so ok...

Ein "vergessener" Parameter reicht schon für SQL Injection aus... Lieber gleich richtig...

[BBoy]

Stimmt auch wieder
Aber in diesem Fall nutze nur ich das Programm als kleines Hilfsmittel zur Erfassung.