SQL Injection verhindern?

[Frickler]

Zitat von himitsu:

@mom: NEIN!

QuotedStr ist für die Syntax von Pascal/Delphi-Strings,
dass es zufällig "oftmals" für SQL-Strings ausreicht, verhindet keine Injection/Maskierungsfehler.

Hat er doch gar nicht behauptet.



P.S.: https://xkcd.com/327/

[NoGAD]

Danke für die Hinweise. Bitte nicht streiten.

@haentschman, eine Nachfrage zum Syntax. Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Eine weitere Frage bezüglich SQL injection: würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen?

[mkinzler]

Zitat:

Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Kennzeichnet den Parameter/Platzhalter

[haentschman]

Zitat:

würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen

...nein.

Da sind wir wieder am Anfang: Immer Parameter!

Zitat:

Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

where Blubchen = :BLA ...Parameter beginnen immer mit :

Der Name des Parameters ist beliebig. Ich habe mich für 3 Großbuchstaben entschieden...

[Rolf Frei]

Zitat von NoGAD:

Danke für die Hinweise. Bitte nicht streiten.

@haentschman, eine Nachfrage zum Syntax. Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Eine weitere Frage bezüglich SQL injection: würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen?

Aus diesem Code:
Query.SQL.Text := 'select * from Personen where Name = '+QuotedStr(Edit1.Text); Machst du das:

Delphi-Quellcode:

Query.SQL.Text := 'select * from Personen where Name = :NAME'; 
Query.ParamByName('NAME').AsString := Edit1.Text;

Dadurch ist dein Code geschützt vor Injections. Also nie einen SQL String direkt mit den Eingaben eines Users zusammenbauen! Was da im Edit.Text drin steht ist dann vollkommen egal, da dieses nicht mehr Bestandteil des SQL ist und somit auch nicht ausgeführt wird.

[NoGAD]

Zitat von Rolf Frei:

Query.SQL.Text := 'select * from Personen where Name = :NAME';
Query.ParamByName('NAME').AsString := Edit1.Text;

Hallo und Danke.

Ich verstehe das leider immer noch nicht.

Wenn ich einen Suchstring habe, dann sollte doch auch damit gearbeitet werden?

Wie wird denn :NAME initialisiert?

LG


Selbst die Erklärung von componentace hilft mir nicht, es zu verstehen: http://www.componentace.com/help/abs...sinqueries.htm

[mkinzler]

Ein (SQL-)Parameter ist ein/eine Platzhalter/Variable.

Es wird keine Abfrage auf einen aktuellen Wert gemacht sondern auf den Parameter NAME
Query.SQL.Text := 'select * from Personen where Vorname = :NAME'; Den Wert wird hiermit gesetzt:

Delphi-Quellcode:

Query.ParamByName('NAME').AsString := 'Egon';
Query.Open;

Nun werden alle Personmen mit dem Vornamen "Egon" angezeigt.

Delphi-Quellcode:

Query.ParamByName('NAME').AsString := 'Susi';
Query.Open;

Nun alle Susis.

[jobo]

[QUOTE=NoGAD;1504988]

Zitat von Rolf Frei:

Wie wird denn :NAME initialisiert?

Als Ergänzung, Delphi sucht aus dem SQL die Parameter raus. So kannst Du sie über ParamByName ansprechen. Die Namen legst Du selbst im SQL Statement fest.
Bei diesem Verfahren kannst Du nicht nur den Wert angeben, sondern auch den Typ berücksichtigen, String, Datum, Zahl .. schau es Dir an.
Damit erschlägst Du auch gleich Konvertierungsprobleme, Quoting und eben Injection.

[coasting]

Zitat:

Wie wird denn :NAME initialisiert?

Die Parameter werden über die Params Eigenschaft des TABSQuery Objekts definiert. Dort können auch weitere Eigenschaften wie zB der Datentyp vorgegeben werden.

[NoGAD]

Ganz, ganz herzlichen Dank, dass ihr euch so viel Mühe mit mir gebt.

Trotzdem geht es mir nicht in den Kopf, warum mittels Parameter ein Code nicht ausgeführt werden kann..

Delphi-Quellcode:

Query.SQL.Text := 'select * from Personen where Vorname = :NAME';
Query.ParamByName('NAME').AsString := 'Egon';
Query.Open;

Statt 'Egon' würde dann eigentlich die Suchanfrage als Variable eingesetzt werden?

Delphi-Quellcode:

Query.ParamByName('NAME').AsString := Edit1.Text;
Query.Open;

???

Und in diesem Fall würde ein Datenbankbefehl ins Leere laufen?

LG