Zweite Zeile SQLite ansprechen

[BenneX]

Hallo,

danke für die Antworten. Ich arbeite mich im Moment Schritt für Schritt in die Materie ein.
Jeder Anfang ist schwer :)

War ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

Grüße, BenneX.

[himitsu]

Zitat:

Zitat von BenneX (Beitrag 1265024)

Was ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

SQL-Injection

Man kann über den String "a" alles mögliche in das SQL einschleusen.

Delphi-Quellcode:

a := '*", "BenneX"); DROP DATABBASE xxx; SELECT COALESCE("';

Also müsstest du den Inhalt dieser Variable prüfen und sicherstellen, daß nichts Böses drin sein könnte,
während man keine Probleme hätte, wenn es als Parameter übergeben wird.

[mkinzler]

Das ist aber nur einer der Vorteile, weitere wären (allgemein; kommt auf DBMS und Bibliothek/Wrapper an):
-automatische Anpassung von Formaten (Datum, Zeit, ...)
-automatische Typkonvertierungen bzw. Konvertierung nach String unnötig ( welche ja auch das Formatproblem birgt)
-Beschleunigung bei mehrfacher Ausführung durch Vorbereitung (Prepare): Die Abfrage wird ohne Werte vorbereitet ( Plan usw.) vor der Ausführung werden nur noch die Parameterwerte übertragen und die vorbereitete Abfrage mit dieser Wertekombination ausgeführt.
...

[BenneX]

Zitat:

Zitat von himitsu (Beitrag 1265025)

Zitat:

Zitat von BenneX (Beitrag 1265024)

Was ist das Problem mit Mavarik Lösung? Wieso sollte man diese nur im aller letzten Fall benutzen?

SQL-Injection

Man kann über den String "a" alles mögliche in das SQL einschleusen.

Delphi-Quellcode:

a := '*", "BenneX"); DROP DATABBASE xxx; SELECT COALESCE("';

Also müsstest du den Inhalt dieser Variable prüfen und sicherstellen, daß nichts Böses drin sein könnte,
während man keine Probleme hätte, wenn es als Parameter übergeben wird.

Okay, das leuchtet mir ein. Werde versuchen mit Parameter zu arbeiten. (Sofern ich es hinbekomme)

Grüße!