Patrick fyrir 19 árum, 3 mánuðum Fjöldi lestra: 315

Að velja úr töflu - ASP

Ég á í smá erfiðleikum með að velja úr töflu og vona að einhver hér geti hjálpað mér.
Þannig er að ég er með leitarsíðu þar sem hægt er að sjá viðburði sem einhver ákveðinn kennitala hefur tekið þátt í.
Það sem ég á í erfiðleikum með er að velja bara það sem viðkomandi er búinn með, ég vil ekki fá að sjá það sem viðkomandi er skráður í en á eftir að klára.
Í viðkomandi töflu er fullt af upplýsingum og þar á meðal er dálkur sem heitir RESULT.
Veit einhver hver er skipunin sem þarf að nota til að kalla fram upplýsingar um þá viðburði sem viðkomandi er búinn með?
Sú skipun sem ég hélt að væri rétt en er greinilega ekki rétt er:

<%
Dim vidburdur
		strKT= Request("KT")
		strKT1 = "%" & strKT & "%"
		strGerd = Request("Gerd")
		strGerd1 = "%" & strGerd & "%"
		strFlokkur = Request("Flokkur")
		strFlokkur1 = "%" & strFlokkur & "%"
		strVidburdurNr = Request("vidburdurNr")
		strvidburdurNr1 = "%" & strvidburdurNr & "%"
		Set rs = objcon.Execute("Select * from vidburdur where KT like '"& strKT1 &"' And Gerd like '" & strGerd1 & "' And Flokkur like '" & strFlokkur1 & "' And vidburdurNr like '" & strvidburdurNr1 & "' And Result Is Not Null Order by Dags Desc")
		%>

Hvað er ég að gera rant?

hagur fyrir 19 árum, 3 mánuðum

Hvert er innihaldið í result dálknum á viðburðum sem eru búnir og ekki búnir? Af hvaða týpu er result dálkurinn?

“Result Is Not Null” skilar bara þeim færslum þar sem Result dálkurinn er ekki NULL. NULL er ekki það sama og tómt gildi, t.d tómur strengur.

Ef Result er strengur og er tómur þar sem ekki er búið að klára, prufaðu þá þetta:

"Result <> ''"

Annað sem þú þarft að athuga er að þetta kóðabrot hjá þér er algjörlega opið fyrir SQL-injection.

SQL-injection kallast það þegar hægt er að skeyta hvaða upplýsingum sem er úr formi/query-string beint inn í SQL skipun, en það er hægt hjá þér þar sem þú meðhöndlar gögnin úr request-inu ekkert áður en þú býrð til SQL-strenginn.

Einfaldasta ráðið gegn því að hægt sé að “injecta” SQL-i inní fyrirspurnina þína væri sú að taka öll gögn sem eru textastrengir og skipta út ‘ fyrir ’' og parsa öll gögn sem eru eingöngu tölur í gegnum cint eða clng föllin.

Dæmi:

strKT1 = "%" & Replace(Request("KT"),"'","''")& "%"
strGerd1 = "%" & Replace(Request("Gerd"),"'","''") & "%"
strFlokkur1 = "%" & Replace(Request("Flokkur"),"'","''")& "%"
strvidburdurNr1 = "%" & clng(Request("vidburdurNr")) & "%"

Til að fræðast meira um það skaltu leita að því á google.com, mjög fróðlegar lesningar um þetta security atriði þar og mjög gott að hafa þetta á tæru.

Eitt annað, ég myndi passa mig á að nota ekki LIKE nema bara þar sem verið er að bera saman hluta af strengjum.

Þar sem verið er að bera saman ákveðin gildi er betra að nota bara samanburðarvirkjann =.

Fyrra álit

Patrick fyrir 19 árum, 3 mánuðum

Sæll Hagur.

Ég þakka kærlega fyrir upplýsingarnar.
Þetta virkaði :) og var það sem ég var að leyta að.
Upplýsingarnar sem slegnar eru inn í RESULT dálkinn eru eingöngu tölustafir 0, 1, 2 eða 3.

Fyrra álit

Vefsíðugerð

Vefsíðugerð

Ofurhugar

Stjórnendur

Hverjir eru inni

Korkar - Vefforritun

Að velja úr töflu - ASP

Dýr

Dægurmál

Fræði

Leikir

Lífið

Lífsstíll

Margmiðlun

Menning

Skjár

Sport

Tónlist

Tækni

Vélar

Hugi