SQL Select where Feld = Zahlenvariable

[beanbear6]

Hi zusammen,
ich such eine Möglichkeit, mit dem Select-Befehl (Query) in einer Datenbank nach der Kundennummer zu Filtern. Ich verwende für die Selection von Zeichen den Befehl:

Delphi-Quellcode:

SQL.Add('Select * from Artikel WHERE upper(A_BEZ) LIKE "%'+uppercase(such)+'%"');

Für die Zahlensuche verwende ich

Delphi-Quellcode:

SQL.Add('Select * FROM Artikel WHERE A_NR = 3');

Aber absolut nicht krieg ich das hin, wenn ich die Zahl 3 durch eine Variable ersetze. Das Feld A_NR ist ein nummerisches Feld. Wie kann man das machen?
Vielen Dank für jeden Tip!!
Gruß beanbear

[Lemmy]

Hi,

Delphi-Quellcode:

SQL.Add('Select * FROM Artikel WHERE A_NR = :ArtikelNr')
SQL.ParamByName('ArtikelNr').AsInteger := 3;

[TKanne]

Hallo,

So sollte es gehen:

SQL.Add('Select * FROM Artikel WHERE A_NR = ' + IntToStr(Variable));

VG
TKanne

[Dejan Vu]

@TKanne: Wenn Du das so auch mit Strings machst, dann ist das eine Einladung zu SQL-Injection. Verwende Parameter, wie Lemmy das gezeigt hat.

Zitat:

Zitat von beanbear6 (Beitrag 1319113)

Hi zusammen,
Ich verwende für die Selection von Zeichen den Befehl:

Delphi-Quellcode:

SQL.Add('Select * from Artikel WHERE upper(A_BEZ) LIKE "%'+uppercase(such)+'%"');

...
Gruß beanbear

So, und deinem 'such' verpasse ich jetzt den Text

Delphi-Quellcode:

";DROP TABLE Artikel;--

und schon ist deine Tabelle nicht mehr da. Oder -auch lustig- (je nach RDBMS)

Delphi-Quellcode:

";sp_Shell('Format d:');--

und deine D-Platte ist sauber.

Nie nie niemals nicht ohne Parameter arbeiten!

[beanbear6]

Hi an alle,
vieeelen vielen Dank für Eure Hilfe! Nun kann ich weitermachen :-)
Danke Euch!
Gruß Beanbear