SQL Select where Feld = Zahlenvariable

[beanbear6]

Hi zusammen,
ich such eine Möglichkeit, mit dem Select-Befehl (Query) in einer Datenbank nach der Kundennummer zu Filtern. Ich verwende für die Selection von Zeichen den Befehl:

SQL.Add('Select * from Artikel WHERE upper(A_BEZ) LIKE "%'+uppercase(such)+'%"'); Für die Zahlensuche verwende ich

SQL.Add('Select * FROM Artikel WHERE A_NR = 3'); Aber absolut nicht krieg ich das hin, wenn ich die Zahl 3 durch eine Variable ersetze. Das Feld A_NR ist ein nummerisches Feld. Wie kann man das machen?
Vielen Dank für jeden Tip!!
Gruß beanbear

[Lemmy]

Hi,

Delphi-Quellcode:

SQL.Add('Select * FROM Artikel WHERE A_NR = :ArtikelNr')
SQL.ParamByName('ArtikelNr').AsInteger := 3;

[TKanne]

Hallo,

So sollte es gehen:

SQL.Add('Select * FROM Artikel WHERE A_NR = ' + IntToStr(Variable));

VG
TKanne

[Dejan Vu]

@TKanne: Wenn Du das so auch mit Strings machst, dann ist das eine Einladung zu SQL-Injection. Verwende Parameter, wie Lemmy das gezeigt hat.

Zitat von beanbear6:

Hi zusammen,
Ich verwende für die Selection von Zeichen den Befehl:
SQL.Add('Select * from Artikel WHERE upper(A_BEZ) LIKE "%'+uppercase(such)+'%"'); ...
Gruß beanbear

So, und deinem 'such' verpasse ich jetzt den Text ";DROP TABLE Artikel;-- und schon ist deine Tabelle nicht mehr da. Oder -auch lustig- (je nach RDBMS) ";sp_Shell('Format d:');-- und deine D-Platte ist sauber.

Nie nie niemals nicht ohne Parameter arbeiten!

[beanbear6]

Hi an alle,
vieeelen vielen Dank für Eure Hilfe! Nun kann ich weitermachen
Danke Euch!
Gruß Beanbear