Einlesen aus Datenbank

[t0mmy]

Hallo!

Mein Problem is es, das ich ein Loginfenster habe wo ich die Anmeldedaten aus einer MySQL Datenbank vergleiche. Beispiel Also ich tippe den Benutzername ein, dieser wird in der Datenbank gesucht und das Passwort wird in der Datenbank mit dem verglichen mit dem ich mich anmelden will..

Delphi-Quellcode:

procedure TLogin.Button1_AnmeldenClick(Sender: TObject);
begin
    datamod_formular.DataModule1.ADOConnection1.ConnectionString :=
  'Provider=SQLOLEDB.1;Password=****'+
  ';Persisit Security Info=True;User ID = ***'+
  ';Initial Catalog=***;Data Source=PROG-PC\SQLEXPRESS';


  Try
   datamod_formular.DataModule1.ADOConnection1.Open;
   datamod_formular.DataModule1.ADOQuery2_login.SQL.Clear;
   datamod_formular.DataModule1.ADOQuery2_login.SQL.Text := 'Select Passwort from Benutzer where Vorname ='''+Edit1_Benutzername.Text+'''';
   datamod_formular.DataModule1.ADOQuery2_login.Active := True;
   datamod_formular.DataModule1.ADOQuery2_login.Open;

   if datamod_formular.DataModule1.ADOQuery2_login.Eof then
   begin
     ShowMessage('Nix');
   end
   else
   begin
     ShowMessage(datamod_formular.DataModule1.ADOQuery1.FieldByName('Passwort').AsString);
   end;
  except
    on E : Exception do
    begin
      ShowMessage(E.Message);
      //MessageBox(0,'Anmeldung Fehlgeschlagen!','Login',MB_ICONERROR or MB_OK);
    end;
  end;

end;

[DeddyH]

Zitat:

Zitat von t0mmy (Beitrag 1123704)

Mein Problem is es, das ich ein Loginfenster habe wo ich die Anmeldedaten aus einer MySQL Datenbank vergleiche.

Das ist schon ein Problem? Dann haben aber tausende anderer Programme auf der Welt dieselben Probleme. Im Ernst: was ist jetzt Deine Frage?

[generic]

ADO und MYSQL funktioniert nicht (oder hast du einen Treiber gefunden?)
ADO ist für MSSQL gemacht.

Delphi-Quellcode:

datamod_formular.DataModule1.ADOQuery2_login.SQL.Text := 'Select Passwort from Benutzer where Vorname ='''+Edit1_Benutzername.Text+'''';

Diese Zeile enthält eine SQL-Injection!

Besser ist wenn du mit Parametern arbeitest.
Das Passwort würde ich mit in die SQL-Bedingung als WHERE mit aufnehmen.
Dann brauchst du nur schauen ob es eine Zeile gibt oder nicht.

Best Practice:
Deine Passwörter sollten immer nur gehashed in der DB abgelegt sein. Sonst passiert es dir wie KM-Elektronik. 800.000 Kundendaten inkl. Passwörter gestohlen worden.


P.S.: wie ist deine Frage bzw. was ist das Problem?

[p80286]

Er hat keine Chance das PW zu vergleichen da es als Hash-Wert vorliegt??

Gruß
K-H

[DeddyH]

Wieso? MySQL unterstützt z.B. MD5 direkt.

SQL-Code:

SELECT 
  COUNT(*)
FROM
  Benutzer
WHERE
  Vorname = :vorname
AND
  Passwort = MD5(:passwort)

[Sir Rufo]

Ein Blick auf den ConnectionString und ich verwette mein Abendbrot, dass es sich um MSSQL (Express-Version) handelt ;)

Zum Prüfen des Kennworts bietet sich auch eine SP an.

Und natürlich nur den Hash übergeben ...
Wer sich fragt warum, der lässt einfach mal den Network Monitor mitlaufen und hat keine Fragen mehr ;)

[DeddyH]

OK, das ist ein Argument, den Connnectionstring hatte ich mir nicht angeschaut. Trotzdem bleibt die Frage: was ist eigentlich die Frage?

[s.h.a.r.k]

Und wenn schon ein Hash, dann bitte gesalzen :stupid: Hier ein interessanter Artikel dazu.

[t0mmy]

Also bei ShowMessage(E.Message) bekomme ich ADOQuery1: Das Feld 'Passwort' wurde nicht gefunden -.-

[DeddyH]

Und wieso nicht? Weil Du es wohl anders genannt hast, ich aber nicht wissen kann, wie es nun wirklich heißt :glaskugel:

[t0mmy]

Die Spalte heißt Passwort, da habe ich keinen Tippfehler oder Schreibfehler.

[DeddyH]

Und wenn Du den Spaltennamen einmal in eckige Klammern setzt?

[t0mmy]

Gleiche Meldung -.-

[DeddyH]

Kannst Du mit dem Management Studio auf die Datenbank zugreifen? Falls ja, versuch das SQL doch einmal dort auszuführen.

[t0mmy]

Ja kann ich und ich habs grad probier, funktioniert einwandfrei -.-
jedoch nicht in Delphi :(
Ich verstehs nicht -.-

[DeddyH]

Das ist mir im Moment etwas zu hoch :gruebel:. Wie genau sieht die Abfrage denn aus?

[t0mmy]

Code:

SELECT Passwort
  FROM Benutzer
WHERE Vorname = 'Tomi'

Ergebniss: ist das Passwort was ich haben möchte.

[DeddyH]

Funktioniert denn

SQL-Code:

SELECT *
  FROM Benutzer
WHERE Vorname = 'Tomi'

aus Delphi heraus? Passwort (mit t am Ende) ist ja wohl kein reserviertes Wort, daran dürfte es nicht liegen.

[t0mmy]

Also ich hab jetzt den fehler minimieren können auf die Befehlszeile:

Delphi-Quellcode:

ShowMessage(datamod_formular.DataModule1.ADOQuery1.FieldByName('Passwort').AsString);

und das mit Select * From funktioniert auch, sprich er schreibt keinen fehler.
Aber warum mag er die FieldByName funktion nicht?

[DeddyH]

Die Query ist zum Fehlerzeitpunkt geöffnet? Ein wenig mehr Quelltext wäre hilfreich.

[t0mmy]

Ja is sie.. ja den ganzen Quellcode habe ich bei meiner frage ja gepostet.

[DeddyH]

Nee, geöffnet ist ADOQuery2_login, Du fragst aber ADOQuery1 ab.

[t0mmy]

Nein, nein, nein..hass hass hass!!! ich bin sooo blind!!!
Danke

[generic]

Zitat:

Zitat von p80286 (Beitrag 1123722)

Er hat keine Chance das PW zu vergleichen da es als Hash-Wert vorliegt??

Wieso sollte man die Passwörter vergleichen?
Man kann auch Hashes miteinander vergleichen!