String eintragen der Apostroph enthält

[Satyr]

Guten Abend,

ich stehe ein wenig auf dem Schlauch.
Ich habe ein Programm das ein Mail System "simuliert". Es arbeitet also als Mail System, die Mails sind aber keinen echten Mails.
Dazu nutze ich eine SQLite Datenbank um die Mails (welche auch vom Programm generiert werden können) speichert. Mit virtuellem Absender und Datum. Dazu habe ich mir eine Procedure geschrieben:

Delphi-Quellcode:

procedure addMail(abs: String; txt: String);
var
datum: String;
begin
datum := FormatDateTime('dd.mm.yyyy', Now);

 fuunc.ASQLite3Query1.SQL.Clear;
 fuunc.ASQLite3Query1.SQL.Add('INSERT INTO mails (absender, mail, datum) VALUES ('''+abs+''', '''+txt+''', '''+datum+''')');
 fuunc.ASQLite3Query1.ExecSQL;
end;

Funktioniert fast perfekt. Aufgerufen wird es mit:

Delphi-Quellcode:

func.addMail('Hans Meier', 'Text');

Mein Problem ist nun, das es den SQL Befehl zerhaut, wenn im Text oder Absender ein ' vorkommt. Kein Problem, dachte ich und lasse alle ' durch '' ersetzen. Aber dann funktioniert meine String Übergabe nicht mehr weil Delphi '' schon selbst nutzt.
Kann ich da irgendwas einfaches machen? Bestimmt, ich komme nur grad nicht drauf *grml*.

Gruß,
Andreas

[implementation]

Zitat:

Aber dann funktioniert meine String Übergabe nicht mehr weil Delphi '' schon selbst nutzt.

Hä? Das passiert doch zur Laufzeit, oder nicht? :gruebel:

[Luckie]

Forensuche:; http://www.delphipraxis.net/111378-q...im-string.html

[Pentium 80486]

---

[Satyr]

Zitat:

Zitat von implementation (Beitrag 1167138)

Zitat:

Aber dann funktioniert meine String Übergabe nicht mehr weil Delphi '' schon selbst nutzt.

Hä? Das passiert doch zur Laufzeit, oder nicht? :gruebel:

Ja.. aber ich habe z.B. viele englische Texte. Dann übergebe ich beispielsweise als txt "No, this isn''t true"... Das lässt sich kompilieren aber ich kann es nicht mit obiger Procedure in die Datenbank schreiben, weil SQLite sich dann an dem ' von isn't stört.

[jfheins]

Du könntest es mal mit Parametern probieren.
Das ist nicht nur sicherer, sondern umgeht auch solche Probleme mit Quotes ;-)

http://www.mail-archive.com/sqlite-u.../msg27004.html

[Satyr]

Zitat:

Zitat von jfheins (Beitrag 1167143)

Du könntest es mal mit Parametern probieren.
Das ist nicht nur sicherer, sondern umgeht auch solche Probleme mit Quotes ;-)

http://www.mail-archive.com/sqlite-u.../msg27004.html

Das ist mir eig. in der Logik zu "kompliziert", weil ich viel mit PHP arbeite und da Params nicht gewöhnt bin *g*.
Aber ich tüftel dann mal da rum, danke :).

Edit:
@Luckie
Danke, das hatte ich schon gefunden. Aber so wie ich das lese, löst das nicht mein Problem... (oder ich verstehe es falsch).

[p80286]

soo kompliziert ist das auch nicht:

Delphi-Quellcode:

fuunc.ASQLite3Query1.SQL.Add('INSERT INTO mails (absender, mail, datum) VALUES (:abs_txt,:txt_txt,:datum_txt)');

je nachdem mit welcher Schnittstelle Du arbeitest vaariiert die Parameterübergabe etwas:

Delphi-Quellcode:

fuunc.ASQLite3Query1.Parameter.ParameterbyName('txt_txt').asstring:=MeinText;
fuunc.ASQLite3Query1.Parameter.ParameterbyName('abs_txt').asstring:=MeinABS;
fuunc.ASQLite3Query1.Parameter.ParameterbyName('datum_txt').asstring:=MeinDatum;

ggf. müsste da statt .asstring .value stehen und parameters könnten auch params heißen. schau mal nach.

Gruß
K-H

[Namenloser]

Du musst, wenn du nicht mit Parametern arbeitest, die Strings aber unbedingt escapen, da man sonst sehr leicht SQL-Injections machen kann! Wenn du dies tun würdest, hättest du auch das Problem mit dem Apostroph nicht.

Was unter Delphi die Standard-Methode zum escapen ist, weiß ich nicht, vielleicht ist

Delphi-Quellcode:

QuotedStr

ja schon die Lösung.

Würde dir aber auch eindeutig zu der Parameter-Variante raten... damit bist du zu 100% sicher unterwegs und gewinnst außerdem eine Menge Übersicht.

[Satyr]

Zitat:

Zitat von p80286 (Beitrag 1167150)

soo kompliziert ist das auch nicht:

Delphi-Quellcode:

fuunc.ASQLite3Query1.SQL.Add('INSERT INTO mails (absender, mail, datum) VALUES (:abs_txt,:txt_txt,:datum_txt)');

je nachdem mit welcher Schnittstelle Du arbeitest vaariiert die Parameterübergabe etwas:

Delphi-Quellcode:

fuunc.ASQLite3Query1.Parameter.ParameterbyName('txt_txt').asstring:=MeinText;
fuunc.ASQLite3Query1.Parameter.ParameterbyName('abs_txt').asstring:=MeinABS;
fuunc.ASQLite3Query1.Parameter.ParameterbyName('datum_txt').asstring:=MeinDatum;

ggf. müsste da statt .asstring .value stehen und parameters könnten auch params heißen. schau mal nach.

Gruß
K-H

Danke, soweit bin ich langsam. Mit .value funktioniert es wie es soll *s*.
Allerdings nur ein Mal. Wenn ichs dann direkt wieder versuche, bekomme ich ne kryptische Zugriffsverletzung.
Durch das "free" im finally Part, dürfte doch aber nichts im Speicher hängen bleiben, oder?

[p80286]

Würdest du einmal etwas Code spendieren?
Mir fehlt vor allem ein .Close

Delphi-Quellcode:

fuunc.ASQLite3Query1.Close;
 fuunc.ASQLite3Query1.SQL.Clear;
 fuunc.ASQLite3Query1.SQL.Add('INSERT INTO mails (absender, mail, datum) VALUES ('''+abs+''', '''+txt+''', '''+datum+''')');
 fuunc.ASQLite3Query1.ExecSQL;
fuunc.ASQLite3Query1.Close;

Gruß
K-H

[Satyr]

Sorry, Telefon.

Der Code der bei mir 1 Mal funktioniert aber dann eine Zugriffsverletzung macht ist:

Delphi-Quellcode:

with fuunc.ASQLite3Query1 do
try
  RawSQL := False;
  SQL.Text := 'INSERT INTO mails (absender, mail, datum) VALUES (:absender,:mail,:datum)';
  Params.ParamByName('absender').Value := abs;
  Params.ParamByName('mail').Value := txt;
  Params.ParamByName('datum').Value := date;
  ExecSQL;
  SQL.Clear;
  Params.Clear;
  Close;
finally
  Free;
end;

[DeddyH]

Das ist ja anscheinend eine Komponente, wieso gibst Du die frei? Dafür ist doch im Normalfall der Owner zuständig. Und ein Close nach ExecSQL macht keinen Sinn, lass Dir da nix einreden.

[Satyr]

Weil ich "Angst" habe das ich den Arbeitsspeicher zumülle, wenn ich da nix freigebe. Kann das nicht passieren?

[DeddyH]

Das kommt jetzt darauf an. Hast Du sie zur Entwurfszeit auf das Formular gepackt oder zur Laufzeit erzeugt?

[Satyr]

Zur Entwurfszeit. Ist für mich übersichtlicher.

[DeddyH]

Dann musst Du sie auch nicht freigeben, das machst Du mit anderen Komponenten ja hoffentlich auch nicht.

[Luckie]

Dann darfst du es auch nicht frei geben. Denn wie oder wann soll es den nach dem Freigeben wieder erstellt werden? Wenn du die Komponente zur Entwurfszeit auf das Formular machst, dann ist das Formular der Owner und gibt die Komponente auch wieder frei.

[Satyr]

Ah ok, klingt logisch. Ich hatte nur schon so oft gelesen, das irgendwelche Fehler bei DB Programmierung damit zusammenhängen, das man den Arbeitsspeicher nicht sauber genug nutzt.
Aber ohne free und close funktioniert es perfekt, so wie es soll. Danke Euch, hat mir sehr geholfen :).