Hochkomma entfernen -> INSERT INTO-Problem

[HolgerCW]

Hallo zusammen,

wenn ich mit INSERT INTO ein Tupel in eine Tabelle einfügen möchte kommt immer der Fehler: "Rechtes Anführungszeichen fehlt", wenn ein VALUE mit einem Hochkomma dabei ist.

Wenn ich nun verscuhe mit Quotedstr Hochkommas dazuzufügen klappt das auch nicht.

Kann mir einer von euch sagen, wie ich entweder das Hochkomme in einem String gegen ein Leerzeichen austauschen kann, oder kennt jemand noch eine andere Lösung ?

Gruss

Holger

[DeddyH]

Zeig doch mal den Source, IIRC dürfte es bei parametrisierten Statements nicht zu diesem Problem kommen.

[Bernhard Geyer]

Nimm parametrisierte Abfragen:

Delphi-Quellcode:

query.SQL.Add('INSERT INTO MyTabelle(Feld1) VALUES(:Feld1)');
query.Prepare;
query.ParamByName('Feld1').Asstring := MeinWertMitHochkomma;
query.Execute;

Und schon hast du keine Probleme mehr mit Hochkommas und SQL-Injection.

[DeddyH]

@Bernhard: 2 Doofe, ein Gedanke :cheers: :)

[HolgerCW]

Vielen dank für die Infos.

Habe da aber leider ein Problem. Ich nutze für mein ganzes Programm beim INSERT folgende Procedure:

Delphi-Quellcode:

procedure Datensatz_insert (Werte:String; Spalten:String; Tabelle:String);
begin

 with DM_Query_XYZ do
 begin
  QueryInsert.Close;
  QueryInsert.SQL[0] := 'INSERT INTO ' + Tabelle + '';
  QueryInsert.SQL[1] := '(' + Spalten + ')';
  QueryInsert.SQL[2] := 'VALUES(' + Werte + ')';
  QueryInsert.ExecSQL;
 end;

 DM_Query_XYZ.QueryCommit.ExecSQL;

end;

Wie könnte ich diese umbauen, damit es klappt ? Will jetzt nicht mein ganzes Programm ändern.

Gruss

Holger

[Phoenix]

Zitat:

Zitat von HolgerCW

Vielen dank für die Infos.
Habe da aber leider ein Problem. Ich nutze für mein ganzes Programm beim INSERT folgende Procedure:
Wie könnte ich diese umbauen, damit es klappt ? Will jetzt nicht mein ganzes Programm ändern.

Aua. Dieser Code ist nicht nur ein Abmahnungsgrund, sondern sogar einer für eine fristlose Kündigung.

Was, wenn ein Benutzer z.B. bei einem der einzugebenden Werte folgendes eingibt:

Code:

; DROP TABLE nameeinerwichtigentabelle; --

?
Du öffnest damit dem einfachsten aller Angriffe, namentlich der SQL Injection, sämtliche Türen. Also. Umbauen auf Parameter und nirgends in der Anwendung auf die Idee kommen, SQL anhand von Benutzereingaben zusammenzubauen. Das ist das allerschlimmste was man tun kann.

[DP-Maintenance]

Dieses Thema wurde von "Phoenix" von "Object-Pascal / Delphi-Language" nach "Datenbanken" verschoben.
Ausserdem ist das ein Datenbank-Thema

[Bernhard Geyer]

Zitat:

Zitat von HolgerCW

Vielen dank für die Infos.

Habe da aber leider ein Problem. Ich nutze für mein ganzes Programm beim INSERT folgende Procedure:
...
Wie könnte ich diese umbauen, damit es klappt ? Will jetzt nicht mein ganzes Programm ändern.

Wirst du müssen. und zwar das nach:

Delphi-Quellcode:

procedure Datensatz_insert (Werte: array of String; Spalten: array of String; Tabelle: String);

und schon kannst du das prepared Statement dynamisch zusammenbauen und bist sicher.

Übrigens ist deine Vorgehenweise ein Argument wieso wir aktuell unsere CRM-System rausschmeißen. Aufgrund einer Ähnlichen vorgehensweise führen Hochkommas an diversen Stellen zu Nicht-Funktionieren der Systems. Ein evtl. angedachte browserbasierter Aktualisierung dieses Systems würde die DMZ unnötig machen da über SQL-Injection eine Lockerer Systemeinbruch möglich wäre.

[Xong]

Zitat:

Zitat von HolgerCW

Vielen dank für die Infos.
Habe da aber leider ein Problem.

Wenn du den Code so lässt: Ja!

Den folgenden Code habe ich nicht getestet. Er sollte allerdings eine gute Grundlange bilden, wie du die Abfrage dynamisch und sicher zusammenbauen kannst.

Delphi-Quellcode:

procedure Datensatz_insert (Werte:TStrings; Spalten:TStrings; Tabelle:String);
var i: Integer;
    Values: TStrings;
begin
  Values := TStrings.Create;

  Spalten.Delimiter := ',';
  Spalten.QuoteChar := '';
  Values.Delimiter := ',';
  Values.QuoteChar := '';

  for i:=0 to Spalten.Count-1 do
    Values.Add(':' + Spalten[i]);

with DM_Query_XYZ do
begin
  QueryInsert.Close;
  QueryInsert.Add('INSERT INTO ' + Tabelle);
  QueryInsert.Add('(' + Spalten.DelimitedText + ')');
  QueryInsert.Add('VALUES(' + Values.DelimitedText + ')');
  
  QueryInsert.Prepare;

  for i:=0 to Spalten.Count-1 do
    QueryInsert.ParamByName(Spalten[i]).Asstring := Werte[i];

  QueryInsert.Execute;
end;

Beachte, dass sich die Typen der ersten beiden Parameter geändert haben.

LG,
Xong

[nahpets]

Hallo,

[OT]Xong war schneller als ich :wink: [/OT]

@HolgerCW

wenn Du es auf diese Art und Weise machen willst, musst Du wohl sowas machen:

Delphi-Quellcode:

with DM_Query_XYZ do 
begin 
  QueryInsert.Close; 
  QueryInsert.SQL[0] := 'INSERT INTO ' + Tabelle + ''; 
  QueryInsert.SQL[1] := '(' + Spalten + ')'; 
  QueryInsert.SQL[2] := 'VALUES(' + AnsiReplaceText(Werte,'''','''''') + ')'; 
  QueryInsert.ExecSQL; 
end;

Nichtsdestotrotz überleg' Dir, ob Du das nicht doch lieber über Parameter machen willst.

Delphi-Quellcode:

procedure Datensatz_insert(Query : TAdoQuery;Werte: tStringList; Spalten: tStringList; Tabelle: String);
Var
          i        : Integer;
          sParams  : String;
          sSpalten : String;
begin
  if Werte.Count <> Spalten.Count then begin
    ShowMessage('Keine Übereinstimmung im Werte-/Spaltenpaar.');
    Exit;
  end;
  Query.Close;
  Query.SQL.Clear;
  sParams  := '';
  sSpalten := '';
  for i := 0 To Werte.Count - 1 Do begin
    if i = Werte.Count - 1 then begin
      sSpalten := sSpalten + Spalten[i];
      sParams  := sParams + ':' + Spalten[i];
      Query.Parameters.AddParameter.Name := Spalten[i];
    end else begin
      sSpalten :=  sSpalten + Spalten[i] + ',';
      sParams  := sParams + ':' + Spalten[i] + ',';
      Query.Parameters.AddParameter.Name := Spalten[i];
    end;
  End;
  Query.SQL.Add('Insert into ' + Tabelle + '(');
  Query.SQL.Add(sSpalten);
  Query.SQL.Add(') values (');
  Query.SQL.Add(sParams);
  Query.SQL.Add(')');
  for i := 0 To Werte.Count - 1 Do Query.Parameters[i].Value := Werte[i];
  Query.ExecSQL;
end;

procedure TForm1.Button1Click(Sender: TObject);
Var
  Werte   : TStringList;
  Spalten : TStringList;
begin
  Werte   := TStringList.Create;
  Spalten := TStringList.Create;
  Werte.Add('Wert 1');          // Das könnte man ggfls. auch als Commaseperated übergeben
  Werte.Add('Wert 2');
  Werte.Add('Wert 3');
  Spalten.Add('Spalte1');
  Spalten.Add('Spalte2');
  Spalten.Add('Spalte3');
  Datensatz_insert(QueryInsert, Werte, Spalten, 'Tabelle');
  Werte.Free;
  Spalten.Free;
end;

Hat bei mir soeben funktioniert.

[HolgerCW]

Danke für die Tips,

werde ich gleich umsetzen.

Bei Xong-Code kommt aber der Fehler bei:

Delphi-Quellcode:

Spalten.QuoteChar := '';

-> Inkompatible Typen 'Char' und 'string'

[Xong]

Zitat:

Zitat von HolgerCW

Bei Xong-Code kommt aber der Fehler bei:

Delphi-Quellcode:

Spalten.QuoteChar := '';

-> Inkompatible Typen 'Char' und 'string'

Dann nutze ein neutrales Leerzeichen:

Delphi-Quellcode:

Spalten.QuoteChar := ' ';

LG,
Xong

[HolgerCW]

Alles klar,

eine Frage habe ich noch. Kann man TStrings nur mit Add füllen oder kann man die auch in etwa so übergeben: [Variable1,Variable2,...] ?

Müsste sonst nämlich alle Aufrufe der Procedure Datensatz_insert komplett ändern.

Gruss

Holger

[DeddyH]

Versuch es mal mit Array of String (ohne Gewähr).

[Xong]

Zitat:

Zitat von HolgerCW

eine Frage habe ich noch. Kann man TStrings nur mit Add füllen oder kann man die auch in etwa so übergeben: [Variable1,Variable2,...] ?

Müsste sonst nämlich alle Aufrufe der Procedure Datensatz_insert komplett ändern.

Wenn du die Werte in den Strings Spalten und Werte kommasepariert hast, kannst du die Prozedur auch aufrufen, ohne ihren Kopf zu verändern.

Folgende Prozedur hat den gleichen Kopf, wie du ihn vorgegeben hattest:

Delphi-Quellcode:

procedure Datensatz_insert (Werte:String; Spalten:String; Tabelle:String);
var i: Integer;
    sValues,sWerte,sSpalten: TStrings;
begin
  sValues := TStrings.Create;
  sWerte := TStrings.Create;
  sSpalten := TStrings.Create;

  sSpalten.Delimiter := ',';
  sSpalten.QuoteChar := ' ';
  sValues.Delimiter := ',';
  sValues.QuoteChar := ' ';

  sSpalten.CommaText := Spalten;
  sWerte.CommaText := Werte;

  for i:=0 to sSpalten.Count-1 do
    sValues.Add(':' + sSpalten[i]);

with DM_Query_XYZ do
begin
  QueryInsert.Close;
  QueryInsert.Add('INSERT INTO ' + Tabelle);
  QueryInsert.Add('(' + sSpalten.DelimitedText + ')');
  QueryInsert.Add('VALUES(' + sValues.DelimitedText + ')');
 
  QueryInsert.Prepare;

  for i:=0 to sSpalten.Count-1 do
    QueryInsert.ParamByName(sSpalten[i]).Asstring := sWerte[i];

  QueryInsert.Execute;
end;

LG,
Xong

[HolgerCW]

Wenn der Debugger diese zeile erreicht:

Delphi-Quellcode:

sSpalten.CommaText := Spalten;

kommt die Fehlermeldung: Abstrakter Fehler ???

So sieht mein Spaltenstring aus: 'STOER_ART_ID,ANWENDER_ID, DATUM, MELDER, ORT_ID, ... '

[nahpets]

versuchs mal mit DelimitedText statt CommaText.

[Sherlock]

Zitat:

Zitat von Phoenix

Zitat:

Zitat von HolgerCW

Vielen dank für die Infos.
Habe da aber leider ein Problem. Ich nutze für mein ganzes Programm beim INSERT folgende Procedure:
Wie könnte ich diese umbauen, damit es klappt ? Will jetzt nicht mein ganzes Programm ändern.

Aua. Dieser Code ist nicht nur ein Abmahnungsgrund, sondern sogar einer für eine fristlose Kündigung.

Was, wenn ein Benutzer z.B. bei einem der einzugebenden Werte folgendes eingibt:

Code:

; DROP TABLE nameeinerwichtigentabelle; --

?
Du öffnest damit dem einfachsten aller Angriffe, namentlich der SQL Injection, sämtliche Türen. Also. Umbauen auf Parameter und nirgends in der Anwendung auf die Idee kommen, SQL anhand von Benutzereingaben zusammenzubauen. Das ist das allerschlimmste was man tun kann.

Darf ich mal kurz dazwischen ein gepflegtes "Nö" einwerfen? ;)

Vielleicht klappt sowas mit Datenbankclients die es nicht interessiert, daß alle Befehle fehlerfrei ausgeführt werden sollten, bevor sie den nächsten ausführen. Aber bei Oracle sehe ich diese Gefahr nicht. Angenommen es soll folgendes passieren:

SQL-Code:

update customer set name = 'Willi';

Wenn jetzt der Tabellenname durch eine Variable gefüllt wird, die das hier beinhaltet

SQL-Code:

; DROP TABLE nameeinerwichtigentabelle; --

dann würde man ja dieses hier bekommen:

SQL-Code:

update ; DROP TABLE nameeinerwichtigentabelle; -- set name = 'Willi';

Und das gibt dann eine Exception mit einem Oraclefehler (Nummer weiss ich nicht, aber sinngemäß kommt da: Befehl nicht korrekt beendet, und der Rest wird gar nicht mehr ausgeführt. Ich weiss nicht wie das MySQL und Konsorten handhaben, aber wenn die soo leicht hinters Licht zu führen sind...hats vielleicht doch einen Grund Geld für ein DBMS zu zahlen.

Selbstverständlich sollte man lieber mit Parametern arbeiten, wegen Übersichtlichkeit und auch aus Performancegründen (Querys, bei denen sich nur die Inhalte der Paramter ändern werden schneller ausgeführt, als wenn man die gleiche Query mit unterschiedlichen Inhalten absendet.

Sherlock

[DeddyH]

Und wenn man statt des Tabellennamens den Wert hernimmt? Bei fehlender Prüfung und genügend krimineller Energie bekommt man dann so etwas hin:

SQL-Code:

update customer set name = 'Willi';DROP TABLE WichtigeTabelle;update customer set name = 'Wuppdi';

[Sherlock]

Aaaah, Rückzug!

Aber ne Abmahnung oder Kündigung gibts dafür trotzdem nicht, denn der Chef hat noch weniger Ahnung davon als ich :D

Sherlock