καλημερα

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

Κάτι τέτοιο θα σε βοηθήσει να λύσεις το πρόβλημα σου.

 

case when (@phone<>'any' then select * from users where phone = @phone

                                          else select * from users where phone <> 0

                  )

μα οπως ειπα αυτο το εχω κανει το θεμα ειναι αν μπορω να αποφυγω το ναγραφω πολλα queries 

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

EXECUTE sp_executesql @query

 

ms-help://MS.SQLCC.v9/MS.SQLSVR.v9.en/tsqlref9/html/a8d68d72-0f4d-4ecb-ae86-1235b962f646.htm

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

final test sample

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

Η stored procedure που εγραψες ειναι τρωτη σε sql injection :

exec [usp_test] @Course = 'admin', @Pass = ' ''1'' or 1=1'

exec [usp_test] @Course = 'admin', @Pass = 'Password'

--HTH--

Για δοκίμασε αυτό

 

IF OBJECTPROPERTY(object_id('dbo.usp_test'), N'IsProcedure') = 1

DROP PROCEDURE [dbo].[usp_test]

GO

CREATE PROCEDURE [usp_test]

@Course varchar(max),

@username varchar(max),

@Password varchar(max),

@Pass varchar(max)

AS

Declare @query varchar(max)

DECLARE @ParmDefinition nvarchar(500)

Set @query = 'Select * From users Where '

If @Course='admin'

Begin

set @username = @Course

Set @query = @query + 'Code='+@Course

end

else

begin

set @username = @Course

Set @query = @query + 'Code<>'+@Course

end

If @Pass ='any'

Begin

set @Password = '-1'

Set @query = @query + ' and Password <>'+@Pass

end

else

begin

set @Password = @Pass

Set @query = @query + ' and Password = '''+@Pass +'''' /* + Convert(varchar(10), @Branch ) */

end

SET @ParmDefinition = N'@Course varchar(max)',N'@Pass varchar(max)';

EXECUTE sp_executesql @SQLString, @ParmDefinition,@Course=@username,@Pass=@Password

go

Η όλη αναζήτηση είναι λάθος εξαρχής. Πέρα από το θέμα του sql injection, όπως σωστά είπε και ο spaceman, το stored procedure θα έχει και κακό performance. Ο SQL Server δημιουργεί το execution plan ενός stored procedure την πρώτη φορά που αυτό εκτελείται και μετά το ξαναχρησιμοποιεί. Ένα query χωρίς where έχει τελείως διαφορετικό execution plan από ένα query που έχει where στο πεδίο Α και διαφορετικό από ένα που έχει στο πεδίο Β. Αν εκτελέσεις διαφορετικό query τη μία φορά και διαφορετικό τη δεύτερη μέσα από το ίδιο stored procedure , το δεύτερο execution θα δοκιμάσει να χρησιμοποιήσει το execution plan που δημιουργήθηκε στο πρώτο. Μπορείς μεν να ορίσεις να γίνεται compile το stored procedure κάθε φορά που το τρέχεις, έτσι όμως χάνεις κάθε όφελος ταχύτητας το οποίο θα σου έδιναν τα stored procedures.

Αν θέλεις να εκτελέσεις query με διαφορετικούς τελεστές, απλά φτιάξες διαφορετικά stored procedures, ή εκτέλεσε απευθείας το SQL. Και φρόντισε να χρησιμοποιείς παραμέτρους, όχι string concatenations.

---

Παναγιώτης Καναβός, Freelancer
Twitter: http://www.twitter.com/pkanavos

βασικα παιδια δεν θα ειναι τροτο γιατι οι τιμες ολες θα ειναι απο dropdown μενου standar δεν θα μπορει να πληκτρολογει ο χρηστης κατι που θα αποβει μοιραιο!

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

Παναγιώτης Καναβός:

Η όλη αναζήτηση είναι λάθος εξαρχής. Πέρα από το θέμα του sql injection, όπως σωστά είπε και ο spaceman, το stored procedure θα έχει και κακό performance. Ο SQL Server δημιουργεί το execution plan ενός stored procedure την πρώτη φορά που αυτό εκτελείται και μετά το ξαναχρησιμοποιεί. Ένα query χωρίς where έχει τελείως διαφορετικό execution plan από ένα query που έχει where στο πεδίο Α και διαφορετικό από ένα που έχει στο πεδίο Β. Αν εκτελέσεις διαφορετικό query τη μία φορά και διαφορετικό τη δεύτερη μέσα από το ίδιο stored procedure , το δεύτερο execution θα δοκιμάσει να χρησιμοποιήσει το execution plan που δημιουργήθηκε στο πρώτο. Μπορείς μεν να ορίσεις να γίνεται compile το stored procedure κάθε φορά που το τρέχεις, έτσι όμως χάνεις κάθε όφελος ταχύτητας το οποίο θα σου έδιναν τα stored procedures.

Αν θέλεις να εκτελέσεις query με διαφορετικούς τελεστές, απλά φτιάξες διαφορετικά stored procedures, ή εκτέλεσε απευθείας το SQL. Και φρόντισε να χρησιμοποιείς παραμέτρους, όχι string concatenations.

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-

Johnnyxp64:

θελω να του πω, να παρε αυτο καλεσεται απο οτι γλωσα θες (βασικα θα ειναι web) και με τις παραμετρους αυτες και παρε αποτελεσματα. δεν θελω να γνωριζει επιπλεον πραγματα!

τελος για να καταλαβω λες οτι θα εχει κακο performance αλλα παρο αλα αυτα τα αποτελεσματα θα ειναι σωστα παντα! δεν πειραζει το performance δεν ειναι κατι τοσο συμαντικο!

CREATE PROCEDURE dbo.usp_test1
@Course nvarchar(max),
@Pass nvarchar(max)
AS 
BEGIN
	SELECT *
	FROM dbo.users
	WHERE ((@Course = N'admin' AND Code = N'admin') OR (@Course <> N'admin' AND Code <> N'admin')) 
	  AND ((@Pass = N'any' AND Password <> N'-1') OR (@Pass <> N'any' AND Password = @Pass))
END

--ΗΤΗ--

Ο κακός κώδικας είναι πάντα κακός κώδικας. Το ότι "δεν σε νοιάζει το performance" δεν δικαιολογεί να γράφεις κακό κώδικα. Δες απλά πόσο απλό και καθαρό είναι το query που έγραψε ο spaceman. Είναι πολύ απλούστερο, ευκολότερο, ασφαλέστερο και γρηγορότερο από τα IF και τα concatenations. 

---

Παναγιώτης Καναβός, Freelancer
Twitter: http://www.twitter.com/pkanavos

Αν και διάβασα λίγο βιαστικά τη συζήτηση, μήπως θα βοηθούσε αυτό το αρθράκι που είχα γράψει το 2005(!) και δημοσιεύθηκε και στο SqlServerCentral.com;

---

Σωτήρης Φιλιππίδης

DotSee Web Services

Παναγιώτης Καναβός:

Ο κακός κώδικας είναι πάντα κακός κώδικας. Το ότι "δεν σε νοιάζει το performance" δεν δικαιολογεί να γράφεις κακό κώδικα. Δες απλά πόσο απλό και καθαρό είναι το query που έγραψε ο spaceman. Είναι πολύ απλούστερο, ευκολότερο, ασφαλέστερο και γρηγορότερο από τα IF και τα concatenations. 

Επιπλέον, το ότι οι τιμές προέρχονται από combo δεν σημαίνει τίποτε απολύτως. Μήπως οι τιμές που μπαίνουν στο combo είναι παραμέτρικες? Πού ορίζονται? Μήπως από το χρήστη? Και αν ο χρήστης πάει και κολλήσει κάτι έξυπνο? Αν δώσει π.χ. '-->' επειδή ήθελε να βάλει ένα βελάκι? Αν ΕΣΥ το κάνεις αυτό? Είσαι σίγουρος ότι ακόμα και εσύ θα θυμάσαι που καταλήγουν οι τιμές του combo μετά από μία εβδομάδα? 

Άνετα μπορείς να γράψεις statements  με παραμέτρους χωρίς να "κολλάς" τις τιμές. Ο κώδικας και απλούστερος θα είναι και γρηγορότερος.

---

This Business Is Binary. You are a 1 or a 0. Alive or Dead.-