Πρώτα Βήματα - Βάσεις δεδομένων

Απ: Syntax error (missing operator) in query expression '

manosB — Thu, 26 Jun 2008 00:16:16 GMT

Cap σωστά τα λες γενικά αλλά μια και το έφερε η συζήτηση να πούμε:
Στο συγκεκριμένο παράδειγμα επειδή νομίζω ότι είναι access το query δεν μπορεί να γίνει sql injection. Λόγω του συντακτικού των queries στην access το sql injection είναι πολύ δύσκολο. Βέβαια εννοείτε πως αν φύγει από access και vba το sql injection πρέπει πάντα να μας απασχολεί.

Απ: Syntax error (missing operator) in query expression '

cap — Wed, 25 Jun 2008 23:57:58 GMT

Δημήτρη, απόλυτα σωστή η παρατήρηση, όμως παρατήρησα οτι ο φίλος μας γράφει VBA σε access, που σημαίνει οτι πιθανώς να θέλει να κάνει ένα access front-end πιθανώς για χρήση σε κάποιο lan, οπου τα sql injections ίσως να μην αποτελούν πρόβλημα λόγω του κλειστού κύκλου των χρηστών της εφαρμογής. (Υπόθεση κάνω πάντα). Δραττομαι της ευκαιρίας πάντως για να πω οτι η προστασία από τα sql injections είναι πλέον MUST με όλα αυτά τα bots που κυκλοφορούν εκει έξω, και γιατί οχι, ακόμα και σε intranet καταστάσεις.

Απ: Syntax error (missing operator) in query expression '

Dimitris Papadimitriou — Wed, 25 Jun 2008 23:50:01 GMT

Το statement σου αποτελεί τρύπα για sql injection επιθέσεις. Ψάξε σε αυτό το forum για sql injection ή/και διάβασε στην wikipedia. Είναι τόσο κλασικό security threat που υπάρχει κι εκεί.

Εν ολίγης, αν ο χρήστης σου γράψει μέσα στο textbox αντί για το ID το εξής: '5; DELETE FROM CUSTOMER' τότε θα διαγράψει όλα τα δεδομένα του πίνακα με όνομα CUSTOMER... και φυσικά και την εγγραφή 5.

Απ: Syntax error (missing operator) in query expression '

manosB — Wed, 25 Jun 2008 17:54:02 GMT

Αν λύθηκε η απορία σου άλλαξε το status της δημοσίευσης. Τσέκαρε και τους κανονισμούς του φόρουμ.

Απ: Syntax error (missing operator) in query expression '

Hector — Wed, 25 Jun 2008 16:53:01 GMT

Σα νέος που είμαι, δεν ήξερα ότι η VBA δεν την παλεύει...

Στον SQL Server παίζει μια χαρά και χωρίς FROM !!!

Ευχαριστώ πάντως

Απ: Syntax error (missing operator) in query expression '

manosB — Wed, 25 Jun 2008 16:45:20 GMT

Ξέχασες το FROM

Delete from (όνομα πίνακα) where id=...........

Syntax error (missing operator) in query expression '

Hector — Wed, 25 Jun 2008 16:36:52 GMT

Καλημέρα σε ολους.

Γνωρίζω πως είναι γελοία η ερώτηση αλλά θα την κάνω προκειμένου να ξεκολλήσω επιτέλους...

Εκτελώ μία DELETE SQL εντολή σε VBA του στυλ
"Delete (όνομα linked πίνακα) where ID = " & txtID.Text & ""
και μου χτυπάει το error του Θέματος.

Το πεδίο ID έιναι Int.

Να σημειώσω πως στην ίδια εφαρμογή εκτελώ και SELECT, INSERT καθώς και UPDATE με τον ίδιο ακριβώς τρόπο στον ίδιο πίνακα...
(π.χ Update (όνομα linked πίνακα) set ID = " & txtID.Text & " WHERE ID is NULL)

Θέμα permissions δεν παίζει.

Ευχαριστώ.