Stringgrid Einträge in SQL-Tabelle übernehmen

[haentschman]

Hallöle...

Zitat:

habe die Lösung selber herausgefunden

...trotzdem gibt es einen entscheidenden Fehler...keine Parameter!

Delphi-Quellcode:

'INSERT INTO '+QuotedStr(lbl_tab_datenbank.Caption)+' (beschreibung,art,preis,nr) VALUES('+QuotedStr(sgrid_test.Cells[1,n])+','    +QuotedStr(sgrid_test.Cells[2,n])+','+QuotedStr(sgrid_test.Cells[3,n])+','+QuotedStr(sgrid_test.Cells[0,n])+ ')'
..

=

Besser:

Delphi-Quellcode:

LiteQuery.SQL.Text := 'INSERT INTO '+ QuotedStr(lbl_tab_datenbank.Caption) + ' (beschreibung,art,preis,nr) VALUES (:P1, :P2, :P3, :P4)';
LiteQuery.ParamByName('P1').AsString := QuotedStr(sgrid_test.Cells[1,n]);
LiteQuery.ParamByName('P2').AsString := QuotedStr(sgrid_test.Cells[2,n]);
LiteQuery.ParamByName('P3').AsString := QuotedStr(sgrid_test.Cells[3,n]);
LiteQuery.ParamByName('P4').AsString := QuotedStr(sgrid_test.Cells[0,n]);

=

Grund:
https://de.wikipedia.org/wiki/SQL-Injection