Stringgrid Einträge in SQL-Tabelle übernehmen

[haentschman]

Hallöle...

Zitat:

habe die Lösung selber herausgefunden

...trotzdem gibt es einen entscheidenden Fehler...keine Parameter!

Delphi-Quellcode:

'INSERT INTO '+QuotedStr(lbl_tab_datenbank.Caption)+' (beschreibung,art,preis,nr) VALUES('+QuotedStr(sgrid_test.Cells[1,n])+','    +QuotedStr(sgrid_test.Cells[2,n])+','+QuotedStr(sgrid_test.Cells[3,n])+','+QuotedStr(sgrid_test.Cells[0,n])+ ')'
..

=

Besser:

Delphi-Quellcode:

LiteQuery.SQL.Text := 'INSERT INTO '+ QuotedStr(lbl_tab_datenbank.Caption) + ' (beschreibung,art,preis,nr) VALUES (:P1, :P2, :P3, :P4)';
LiteQuery.ParamByName('P1').AsString := QuotedStr(sgrid_test.Cells[1,n]);
LiteQuery.ParamByName('P2').AsString := QuotedStr(sgrid_test.Cells[2,n]);
LiteQuery.ParamByName('P3').AsString := QuotedStr(sgrid_test.Cells[3,n]);
LiteQuery.ParamByName('P4').AsString := QuotedStr(sgrid_test.Cells[0,n]);

=

Grund:
https://de.wikipedia.org/wiki/SQL-Injection

[DeddyH]

Einem Parameter.AsString einen QuotedStr zu übergeben, ist das nicht doppelt gemoppelt und müsste dazu führen, dass die DB-Einträge dann auch gequoted sind?

[haentschman]

CopyPaste...Schei...

und ja.

Guck mal auf die Uhr...Heute, 07:59...wir haben heute hier Feiertag.

[himitsu]

Nein.
QuoteStr ist für PascalStrings, aber ist und war niemals nicht für SQL-Strings.
Einfaches Beispiel ist das \ welches davon nicht behandelt wird.

Man nehme Parameter oder die EscapeFunktion des DB-Frameworks.

[DeddyH]

Genau darum geht es doch.

[himitsu]

komisch, vorhin war haentschman ganz bestimmt noch nicht zu sehn

[haentschman]

Zitat:

vorhin war haentschman ganz bestimmt noch nicht zu sehn

...das ist Absicht.