MS SQL Server
  1. MS SQL Server
  3. FieldByName est-il sûr pour l'injection?
Intereting Posts
Erreur lors de la tentative d'ajout du model de données d'entité ADO.Net au projet Accès aux procédures stockées en l'absence d'access dans une table Construction de la requête sql avec count () où count () est> 1 Suppression conditionnelle dans SQL? Développement de rapports SSRS à l'aide de Visual Studio 2010 Minutes à l'heure dans SQL Server Comment afficher un set de données ou un groupe sous la forme d'une list délimitée par des virgules dans SSRS? Utilisation du triggersur dans SQL Server pour mettre à jour la version string de connection express du server sql Impact sur les performances dû à la taille Sp dans Sql Server SQL Server prend-il en charge une fonctionnalité permettant de suivre l'audit? Les mises à jour de la ligne et les changements de schéma s'effectuent au même endroit Supprimer les tables de plus de 12 mois en utilisant le nom de la table Sélectionnez un logging avec null si l'ID n'a qu'un seul logging et select une valeur non nulle lorsque l'ID a plusieurs loggings comment se connecter à la database en utilisant jquery dans asp.net Le moyen le plus rapide de copyr la table SQL

FieldByName est-il sûr pour l'injection?

Je parle de Delphi + ADO + MSSQL. D'accord, je sais que les requêtes avec des parameters sont relativement sûres contre les injections SQL. D'un autre côté, les requêtes dynamics ne sont pas sûres. Mais qu'en est-il des methods classiques FieldByName? Puis-je atsortingbuer en toute security à FieldByName une valeur de string ABSOLUMENT, sans risquer d'avoir une injection?

C'est sûr. Ado utilise des parameters pour Update / Insert / Delete.

Vous pouvez tracer cela avec SQLProfile, par exemple 

 exec sp_executesql N'UPDATE "test".."Activity" SET "data"=@P1 WHERE "InvokeTime"=@P2 AND "data"=@P3',N'@P1 float,@P2 datetime,@P3 float',1,'2013-04-24 10:46:22.933',0,48607825089780715 exec sp_executesql N'INSERT INTO "test".."Activity" ("InvokeTime","data") VALUES (@P1,@P2)',N'@P1 datetime,@P2 float','2000-01-01 00:00:00',2 exec sp_executesql N'DELETE FROM "test".."Activity" WHERE "InvokeTime"=@P1 AND "data"=@P2',N'@P1 datetime,@P2 float','2000-01-01 00:00:00',3