Nur SELECT-Abfrage zulassen?

[Grolle]

Hallo,

ich möchte gerne für ein kleines Abfragetool (Memo+DBGrid) nur SELECT-Anweisungen
zulassen (damit nix an der DB selber geändert werden kann). Im Moment überprüfe
ich einfach, ob "SELECT" im String enthalten ist. Die Frage: reicht das?

Viele Grüße ...

[mkinzler]

Ich kenne ADS nicht. Aber bei anderen DBMS kann man dur GRANT o.ä. die Rechte vergeben

[Grolle]

Hi,

die Datenbank wird meistens eh nur von einem Nutzer bedient. Es ist auch wirklich
nur für Abfrage und Export nach Excel, CSV, PDF ... gedacht.

VIele Grüße ...

[Andreas H.]

Hallo,

ich denke, wenn an in der Connection ReadOnly einstellt, oder?

Gruß Andreas

[Matze]

Zitat von Grolle:

Im Moment überprüfe
ich einfach, ob "SELECT" im String enthalten ist. Die Frage: reicht das?

Um diese Frage zu beantworten: Nein, das reicht nicht. Sowas wäre dann ja weiterhin möglich:

DELETE FROM my_table WHERE spalte = 'SELECT' OR 1=1

[DeddyH]

Etwas mehr Sicherheit gäbe es, wenn das Wort SELECT von mindestens einem Leerzeichen gefolgt am Anfang des (getrimmten) SQL-Strings stehen muss. Der Vergleich darf nicht case-sensitive erfolgen.

[Matze]

Ich denke dies über den Query-String zu ermitteln wird schwer bis unmöglich. Andere Lösungen, wie Andreas sie angesprochen hat, sind da deutlich besser.

[DeddyH]

Das habe ich nie bestritten. Aber wo steht denn etwas von Query-String?

[mkinzler]

Na er scheint ihn ja nach SELECT zu filtern

[DeddyH]

Sorry, ich denke bei Query-String immer an URIs