Text mit ''' und variablen Inhalt

[Kostas]

Hallo Zusammen,

ab D12 gibt es die Möglichkeit Literale mit 3 Anführungszeichen mehrzeilig zu setzen.
Nur als Beispiel:

Delphi-Quellcode:

x := '''
       Select *
         From adress
         Where x='Test' 
       '''

Gibt es auch eine Möglichkeit das 'Test' variable ist in etwa so:

Delphi-Quellcode:

y := 'Test';
  x := '''
       Select *
         From adress
         Where x=''+ y +'' 
       '''

[himitsu]

Der erste String fängt mit ''' an, also endet er auch mit '''
und der Zweite muß natürlich auch mit einer ungeraden Anzahl beginnen, so wie er endet.

Delphi-Quellcode:

y := 'Test';
x := '''
  Select *
  From adress
  Where x=''' + y + '''
  ''';

oder

Delphi-Quellcode:

y := 'Test';
x := '''
  Select *
  From adress
  Where x=:y
  '''.Replace(':y', y);

Aber ganz im Ernst.
SOWAS MACHT MAN NICHT

Wenn SQL, dann NIEMALS Parameter im Code zusammenbauen/ersetzen,
sondern SQL-Parameter nutzen und Y in der SQL-Komponente setzen/zuweisen.

Code-Injection

[Uwe Raabe]

Das funktioniert nicht! Ein mehrzeiliger String-Literal muss das schließende Symbol am Beginn einer neuen Zeile haben. Damit wird nämlich die Einrückung der Zeilen des Literals festgelegt.

Code:

  y := 'Test';
  x := '''
    Select *
      From adress
    Where x=
    ''' + y;

führt zu diesem Ergebnis:

SQL-Code:

Select *
  From adress
Where x=Test

Variablen innerhalb des Multiline-Literals funktionieren nur über Platzhalter für Format .

[skybibo]

Also mit format wie folgt:

Delphi-Quellcode:

y := 'Test';
x := format('''
Select *
From adress
Where x=%s
''',[y]);

Wenn dahinter noch was kommen würde, dann macht das durchaus Sinn.

Also wie folgt:

Delphi-Quellcode:

y := 'Test';
z := 'Test2';
x := format('''
Select *
From adress
Where (x=%s) or (x=%s)
''',[y,z]);

Ergibt dann:

Code:

Select *
From adress
Where (x=Test) or (x=Test2)

[Kostas]

Ich benötige kein SQL, das war nur ein Beispiel zum besseren Verständnis. Die Idee mit dem Format ist für meinen Fall die beste Lösung, vielen Dank für den Hinweis. Ich dachte nur, möglicherweise muss man ein bestimmtes Zeichen zum escapen verwenden.