Konstruktion af Update

Hvad database bruger du? :)

Jeg bruger Access.

Nu ved jeg ikke om du koder i VB eller C#, men jeg har her et eksempel på hvordan jeg har gjort med en editor. Henter data ind i editoren, kan ændre dataene, og så uploade det igen.

    <script language="VB" runat="server">
        Dim sConn As String="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath("database/data2.mdb")
        Dim sSQL As String
        Dim oConn As OleDbConnection
        Dim oCommand As OleDbCommand
        Dim oDataReader As OleDbDataReader

        Sub Page_Load(Source As Object, E As EventArgs)
            If Not Page.IsPostBack Then
                oConn=New OleDbConnection(sConn)
                oConn.Open()

                sSQL="Select * From Content where id=1"
                oCommand=New OleDbCommand(sSQL,oConn)

                oDataReader=oCommand.ExecuteReader()
                Do While oDataReader.Read()=true
                    inpTitle.Text=oDataReader("title")
                    oEdit1.Content=oDataReader("content")
                Loop
                oDataReader.Close()
                oConn.Close()
            End If
        End Sub
           
        Sub Button1_Click(Source As Object, E As EventArgs)
            oConn=New OleDbConnection(sConn)
            oConn.Open()
               
            sSQL="Update content set title='" & Replace(inpTitle.Text,"'","''") & "', content='" & Replace(oEdit1.Content,"'","''") & "' where id=1"
               
            oCommand=New OleDbCommand(sSQL,oConn)
            oCommand.ExecuteNonQuery()

            oConn.Close()
            End Sub
    </script>

hvad med nogle parameters fremfor den Replace ?

Ja, jeg programmerer i c#. Så hvis jeg kunne se et eksempel i c#, så ville det da være dejligt ;-)

Parameters? Hm, tjo, det vil jeg da gerne se bare for en god ordens skyld. Men jeg tror nu ikke, det er aktuelt. For brugeren skal nemlig se de data, der skal rettes i, lave ændringer, og så skal ændringerne foretages. Så der skal vel benyttes en UPDATE?

hvis der skal beskyttes mod SQL injection saa er parameters et godt alternativ
til den Replace som er brugt ovenfor

og det betyder ikke saa meget om det er UPDATE eller en anden SQL statement

Okay - jeg ved ikke noget omsql-injections.
Så det vil jeg da også gerne høre om.
Replace har jeg heller aldrig hørt om...selvom den står ovenover. Er det fordi, den er forbeholdt vb?

Replace(inpTitle.Text,"'","''")

paa rigtig .NET maade laves som

inpTitle.Text.Replace("'","''")

i baade VB.NET og C#

I namespacet Microsoft.VisualBasic er der en Replace funktion som er
VB6/VBS kompatibel - og det er den som er brugt i ovenstaaende kode

med hensyn til parameters saa se:
  http://www.eksperten.dk/artikler/831

Ja gør som arne_v skriver, brug parameters så er du fri for at skulle bruge den replace ting. C# er ikke mit hjørne, men prøv at se om ikke du kan få dette til at virke (Det er oversat ved hjælp af en translater)

string sConn = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" + Server.MapPath("database/data2.mdb");
string sSQL;
OleDbConnection oConn;
OleDbCommand oCommand;
OleDbDataReader oDataReader;

void Page_Load(object Source, EventArgs E)
{
if (!(Page.IsPostBack)) {
  oConn = new OleDbConnection(sConn);
  oConn.Open();
  sSQL = "Select * From Content where id=1";
  oCommand = new OleDbCommand(sSQL, oConn);
  oDataReader = oCommand.ExecuteReader();
  while (oDataReader.Read() == true) {
    inpTitle.Text = oDataReader("title");
    oEdit1.Content = oDataReader("content");
  }
  oDataReader.Close();
  oConn.Close();
}
}

void Button1_Click(object Source, EventArgs E)
{
oConn = new OleDbConnection(sConn);
oConn.Open();
sSQL = "Update content set title=@param1, content=@param2 where id=1";
oCommand = new OleDbCommand(sSQL, oConn);
oCommand.Parameters.Add("@param1", OleDbType.VarChar);
oCommand.Parameters.Add("@param2", OleDbType.VarChar);
oCommand.Parameters("@param1").Value = inpTitle.Text;
oCommand.Parameters("@param2").Value = oEdit1.Content;
oCommand.ExecuteNonQuery();
oConn.Close();
}

PS. parameters er til for at beskytte din kode mod sql injections så de er skam ret vigtige ;o)

/Websam

Vil Arne_v lige lægge et svar?

gerne