SQL Injection verhindern?

[NoGAD]

Recht herzlichen Dank!

Ich werde mich belesen.

Lg

[hoika]

Hallo,

Zitat:

Ganz, ganz herzlichen Dank, dass ihr euch so viel Mühe mit mir gebt.
Trotzdem geht es mir nicht in den Kopf, warum mittels Parameter ein Code nicht ausgeführt werden kann..

Bitte

Zuerst wird der SQL-Befehl übermittelt und danach die Parameter.

Das heißt:
1. SQL-Befehl analysieren, (Prepare)
2. Werte der Parameter einfügen, und das Drop Table ist dann kein Befehl mehr, sondern gehört zum Where.

Where "Egon;Drop Table1" wird dann also ins Leere laufen

Ein
Select Id From Person
Where Name="Egon";
Drop Table Tabelle1

ist was gaaanz anderes.
Zuerst das Select, dann das Drop


Durch die explizite Benutzung der Parameter teilt man der DB also mit,
dass man (hier) ein Select machen will.

[NoGAD]

Danke Heiko,

so schön erklärt ist es endlich verständlich.

Die reinen Abhandlungen, wie was gemacht wird, ist meistens schön und gut, der Hintergrund fehlt mir leider in vielen Fällen.

LG und ein schönes Wochenende