ADO.NET

Απ: Τιμή ενός πεδίου πίνακα

thoidis — Mon, 16 Jan 2006 21:25:55 GMT

Ευχαριστώ πολύ για τη βοήθεια.
Έχεις απόλυτα δίκαιο και θα χρησιμοποιήσω παραμέτρους... απλά ο κώδικας που έστειλα ήταν αντιγραφή-επικόλληση από το msn tutorial και είχα κολλήσει στην τιμή του πεδίου που δεν μπορούσα να βρω εντολή για να την προσπελάσω.

Καμία πρόταση για βιβλίο (έχω παραγγείλει το "Beginning ASP.NET 2.0 Databases Beta Preview") ?

Απ: Τιμή ενός πεδίου πίνακα

Νατάσα Μανουσοπούλου — Mon, 16 Jan 2006 21:10:29 GMT

Παίρνεις την τιμή ενός πεδίου με:

ds.Tables[0].Rows[0]["userId"]

Μερικά σχόλια στον κώδικά σου, ιδιαίτερα επειδή κάνει user authentication:

Αποτελεί μεγάλο security hole να εισάγεις απευθείας το user id που έχει εισάγει ο χρήστης μέσα στην sql. Αν π.χ. ο χρήστης εισάγει για user id το

'; TRUNCATE TABLE Users; select '

Τότε τελικό query θα είναι

Select * From [Users] Where userId=''; TRUNCATE TABLE Users; select ''

το οποίο θα κάνει κάτι πολύ κακό :-)

Είναι προτιμότερο να βάλεις το user id σαν named parameter ως εξής:

string strSQL = "SELECT @ FROM Users WHERE UserID=@UserID";

System.Data.SqlClient.SqlDataAdapter da = new System.Data.SqlClient.SqlDataAdapter(strSQL, connection);

da.SelectCommand.Parameters.Add("@UserID", strUserID);

Επίσης, είναι προτιμότερο να στέλνεις το password στη βάση σαν παράμετρο με ένα statement του τύπου:

SELECT @ FROM Users WHERE UserID=@UserID AND Password=@Password

Γιατί αλλιώς ένας "πονηρός" χρήστης με τη βοήθεια του debugger μπορεί να υποκλέψει passwords (αν τα αποθηκεύεις σε plain text, κάτι που επίσης είναι κακό).

Τιμή ενός πεδίου πίνακα

thoidis — Mon, 16 Jan 2006 20:47:19 GMT

Έχω τον εξής κώδικα για να ζητήσω δεδομένα από τον πίνακα χρηστών όταν πατηθεί το πλήκτρο ΟΚ...

Protected Sub Button1_Click(ByVal sender As Object, ByVal e As System.EventArgs)

' Retrieve the connection string stored in the Web.config file.

Dim connectionString As String = ConfigurationManager.ConnectionStrings("MegaConnectionString").ConnectionString

Dim ds As New DataSet()

Dim queryString As String = "Select * From [Users] Where userId='" & xrhsths.Text & "'"

Try

' Connect to the database and run the query.

Dim connection As New SqlConnection(connectionString)

Dim adapter As New SqlDataAdapter(queryString, connection)

' Fill the DataSet.

adapter.Fill(ds)

Catch ex As Exception

' The connection failed. Display an error message.

Message.Text = "Unable to connect to the database."

End Try

.....

Μπορεί κάποιος να μου πει πώς θα αναφερθώ στο πεδίο userId των δεδομένων που ήρθαν με την SQL που εκτελέσθηκε ώστε να το συγκρίνω με κάποια τιμή...