Tjekke for Sql Injection

Du kan altid bruge parametre !

hmmm.... Jeg ved ikke på forhånd hvilken kollonner der skal hentes frem og hvilke felter der skal filteres på i where statement. Det er en sql sætning der laves dynamisk og derfor er det lidt svære at benytte parametrere.

Hvis det nu antages at man ikke benytter parametere hvordan kan jeg tage højde for sql injection. Det er vel det eneste jeg skal tage højde for ??

Der er ikke nogen lov som forbyder en at opbygge SQL sætninger med parameters indbygget
dynamisk.

De problemer du typisk skal håndtere er:
  - ondsindet bruge af ' i input (hacker SQL injection)
  - venligtsindet brug af ' i input (O'Toole heder nu tilfældigvis det han hedder)
  - dato formater

Så du skal igennem alle input og håndtere forekomster af ' (og det er
forskelligt mellem databaser om der skal escapes \' eller dubleres '').

(og derudover skal du muligvis lave noget med hensyn til datoer)

hej arne
jeg vælgte alligevel at benyte parametere. Det viste sig ikke at være så vanskeligt som jeg havde regnet med.

Hvis du kommer med et svar får du point.

:-)