SQL/VB6 query's versturen

[Verwijderd]

Im mijn programma (VB6) wordt een string opgebouwd met de text uit textboxes vanuit mijn programma, die als query naar een SQL server wordt gestuurd. Als er <ENTERS> in de string zijn verwerkt ziet die dit als meerdere strings, en wordt de query niet (goed) uitgevoerd.

Wie kan mij helpen met dit probeem ?????


Simon

[Verwijderd]

ok

[RobIII]

hangt een beetje af van wat je doet, maar je zou dit kunnen doen:

bij Opslaan:

Replace(text1.text,vbCrLf,"<br>")

en bij ophalen:

Replace(rsres.fields("mijnveld"),"<br>",vbCrLf)

<br> kun je natuurlijk vervangen met whatever (zoals "*&%@" of "|")

[ Voor 28% gewijzigd door RobIII op 29-11-2002 11:16 ]

[RobIII]

Check meteen of 'ie een single quote (') ook goed opslaat. Zo niet, probeer dan

bij Opslaan:

Replace(Replace(text1.text,vbCrLf,"<br>"),"'","''")

en bij ophalen:

Replace(rsres.fields("mijnveld"),"<br>",vbCrLf)

[F_J_K]

simon says.... welkom op GoT

Deze vraag past beter bij de buren van Programming & Webscripting, ik verplaats je vraag dan ook. Lees de topics bovenaan P&W (met een ) even voor je volgende vraag aldaar, zo ook de algemene FAQ, waar wordt uitgelegd dat we liever niet hebben dat je binnen 24 uur je topic 'omhoogschopt' door een post als 'ok'. Heb even wat meer geduld, je topic wordt vanzelf wel gezien

[whoami]

Verwijderd schreef op 29 November 2002 @ 11:07:
ok

Je hoeft niet zo snel te kicken hoor....

Hoe bouw je jouw query dan wel op?

[pjonk]

Als er <ENTERS> in de string zijn verwerkt ziet die dit als meerdere strings, en wordt de query niet (goed) uitgevoerd.

Print je SQL string eens naar je debug window en post 'm hier ff, want we zijn niet helderziend.

[Crazy D]

Ik zou je query nog maar eens goed bekijken, want ik heb nog nooit gehad dat, doordat er een vbCrLf in een string voorkwam, de insert query opeens niet goed werkte. En plaats hier idd je query, dan kunnen we zien wat je doet (hoewel het me wel een beetje tegenvalt dat whoami z'n glazenbol niet werkt )

[whoami]

Crazy D schreef op 29 november 2002 @ 13:31:
En plaats hier idd je query, dan kunnen we zien wat je doet (hoewel het me wel een beetje tegenvalt dat whoami z'n glazenbol niet werkt )

Die is spijtig genoeg vorige week van tafel gevallen. Bol kapot.
Trouwens, die heeft nooit gewerkt bij VB topics.

[Verwijderd]

Een tip:
Laat je queries niet opbouwen op deze manier.
Waarom?
Omdat het op deze manier erg makkelijk wordt om er queries in mee te sturen.
Voorbeeld:
Stel je syntax is als volgt:

code:

"Select * from klant where klantnummer = "+Textbox1.Text

Als ik je Database wil wil legen geef ik de volgende waarde op in Textbox1.text

code:

1=1;DROP TABLE klant

Laat er in ieder geval een aantal regular expressions op los.

Maar goed.. corrigeer me als ik het fout heb begrepen....

[RobIII]

Jeroen_de_G: Ten eerste is de query zoals je die in je voorbeeld geeft bedoeld voor ID's (of een numerieke waarde). Dat moet je dus zowieso checken voordat je die aan SQL dorgeeft. En als je strings gebruikt zoals in onderstaand voorbeeld kan het geen kwaad:

code:

"Select * from klant where klantnaam = '" & Replace(Textbox1.Text,"'","''") & "'"

In jouw geval zou dat dus de query:

code:

Select * from klant where klantnaam = 'RobIII;DROP TABLE KLANT'

Er wordt dus gewoon gezocht op "RobIII;DROP TABLE KLANT".
Escapen m.b.v. een single quote (') lukt ook niet dankzij de replace. Dus de waarde:

code:

RobIII';DROP TABLE KLANT

in je textbox gooien levert gewoon dit op:

code:

Select * from klant where klantnaam = 'RobIII;''DROP TABLE KLANT'

En dus wordt er gewoon gezocht op "RobIII;DROP TABLE KLANT". No problemo lijkt me.

En als je het echt op safe wilt spelen, dan moet je niet eens query's doorgeven, maar stored procedures aanroepen, en die m.b.v. het Parameter object z'n parameters geven. Veiliger dan dat kan <haast?> niet...