Variablen übergeben bei insert

[Dennis07]

Sorry Leute, aber bin ich irgendwie Blöd? Muss man in SQL nicht die Pascal-Strings verwenden?
Also mit ' und nicht mit "...? Das nur am Rande, ich kenne mich mit Delphi SQL-API Zeugs nicht so gut aus.

Außerdem empfehle ich persönlich die AUTO_INCREMENT-Option bei IDs. Das macht es deutlich leichter, da man auch im nachhinein noch Einträge einfügen kann, ohne die höcchste ID zu kennen. Geht allerdings nur bei UNIQUE bzw. PRIMARY-Spalten. Auch würde ich persöhnlich zur Fehlervermeidung empfehlen, alle Strings in SQL in Anführungszeichen zu packen. Denn wenn der Spalten-/Zeilenbezeichner oder der Kästchenwert Leerzeichen oder andere reservierte Zeichen/Ausdrücke enthält (wieso auch immer) dann kriegst du einen Fehler oder noch schlimmer, es wird eine falsche Anfrage ausgeführt.

[nahpets]

@Dennis:

Also wenn ich sowas mache und keine Parameter verwende, dann nutze ich QuotedStr. Damit hab' ich dann immer das Richtige, ohne weiter drüber nachdenken zu müssen.

Delphi-Quellcode:

const
  csSQL = 'INSERT INTO Buecher(BuchID,Titel, Aid, ISBN) VALUES (NULL, %s, %d, %s)';
...
begin
...
  FSQLCommandText := Format(csSQL,[QuotedStr('B1'), AId, QuotedStr('123')]);
...

So kann man auch recht einfach SQL-Scripte erstellen, die man dann später mit anderen Mitteln, über irgendeine Datenbankoberfläche ... in die Datenbank "jagen" kann.

[Dennis07]

Zitat von nahpets:

Also wenn ich sowas mache und keine Parameter verwende, dann nutze ich QuotedStr. Damit hab' ich dann immer das Richtige, ohne weiter drüber nachdenken zu müssen.

Naja, wie du hier ja lesen kannst, macht QuotedStr ja nichts außer den String in ' zu packen. Nur warem im ersten Beitrag ja normale Anfhrungszeichen (") zu sehen:

Zitat von BBoy:

FSQLCommandText := 'INSERT INTO Buecher(BuchID,Titel, Aid, ISBN) VALUES (NULL,"B1",1,"123");';

Und das ist meines Wissens nach in alle SQL-Dialekten falsch. Es gibt meines Wissens nach kein gängiges SQL, das nicht die Pascal-Strings verwendet, also Apostrophe ('). SQL müsste als bei " einen Fehler ausgeben.

Außerdem bleibt hier immer noch das Problem, dass falls der String selbst Zeichen wie ' enthält, diese so noch nicht "escaped" werden. Das muss man noch über eine Kodierungs-/Dekodierungs-Routine machen. Ansonsten kriegst du nämlich wurstsalat wenn dein String zum Beispiel ' Zeichen enthält.

Außerdem musst du darauf achten, dass du AnsiQuotedStr bei Multibyte-Strings benutzt.

[himitsu]

Zitat von Dennis07:

('). SQL müsste als bei " einen Fehler ausgeben

Fast alle SQL-Dialekte kennen beide/mehrere Quote-Zeichen.
' und " und manchmal auch ´

Sie unterscheiden aber anhand des Quotings, um was für eine "Art" von String es sich handelt
> Text (Strings)
> Bezeichner (z.B. Namespace-, Typen-, Tabellen- oder Spaltenbezeichner)

SQL kenn mehr Steuerzeichen, darum ist QuoteString auch falsch, denn wie in den üblichen C-Dialekten, ist der Backslash "\" ein Steuerzeichen
und den behandelt die RTL-Funktion QuoteStr garnicht.

Wie gesagt, jede "orgendliche" Datenbank-Schnittstelle besitzt mindetens eine SQL-Quote-Funktion und jene muß man verwenden.

[Dennis07]

Zitat von himitsu:

Fast alle SQL-Dialekte kennen beide/mehrere Quote-Zeichen.
' und " und manchmal auch ´

Danke, war mir so nicht bewusst. Were mich mal schlau machen diesbezüglich.

Zitat von himitsu:

SQL kenn mehr Steuerzeichen, darum ist QuoteString auch falsch, denn wie in den üblichen C-Dialekten, ist der Backslash "\" ein Steuerzeichen
und den behandelt die RTL-Funktion QuoteStr garnicht.

Wie ich sagte, man muss die entsprechenden reservierten Zeichen "escapen" (gibt's dafür einen deutschen Fachterminus?). Hatte ich ja bereits zwei mal geschrieben.