Страницы: 0 | (10) | 20 | показать все
Если особый случай, то, наверное, можно оставить его открытым для инъекций!
Quote:
Интересуют алгоритмы
http://blog.moertel.com/articles/2006/10/18/a-type-based-sol...
труъ шняга, правда, для типизованных языков
code:
SQLText := Format('SELECT * FROM table WHERE field = "%s"', [ StringReplace(UserFieldValue, '''', '''''', [rfReplaceAll])]);
в теории все так, но в жизни бывает, что от пользовательских данных зависит например имя таблицы, в которую задается запрос или какие поля выбираются. так что ничего не поделаешь, приходится строить запрос на лету, и нужна функция, которая будет проверять вводимые данные на инъекции. и вряд ли такая функция будет в стандартной библиотеке, потому что способ проверки необычный, например
code:
$table =~ /`/ and die; $dbh->do("insert `$table` ...");
Quote:
так что ничего не поделаешь, приходится строить запрос на лету
имена таблиц и имена колонок надо брать не из юзеринпута, а из своих внутренних мапов
после этого ты строишь запрос с вопросиками, и все как обычно
не надо тут панику разводить
а потом когда в таблице добавляется колонка, надо идти искать разработчика, чтобы он ее в этот свой внутренний мап добавил, пересобрал программу, поставил в тестинг, подождал денек, потом выкатил, в чем смысл :-\ неужели так сложно написать проверку, что имя колонки состоит только из букв цифр и подчерка...
зато теоретически все правильно!
В ответ на:
а потом когда в таблице добавляется колонка
а что - колонки свтой дух что-ли добавляет?
если меняется БД, то вполне логично, что разработчик должен потом поучаствовать.
или инженер БД будет отвечать за появившиеся баги?
Quote:
неужели так сложно написать проверку, что имя колонки состоит только из букв цифр и подчерка...
приведи, пожалуйста, реальный use case, когда имя колонки или таблицы вводится пользователем
ps
чтобы выбирался я еще могу придумать, но тогда как раз на сервере строится map, а пользователю передаются какие-то идентификаторы из map-а, а не реальные имена колонок/таблиц.
Quote:
приведи, пожалуйста, реальный use case, когда имя колонки или таблицы вводится пользователем
когда ты хочешь оставить пользователю возможность вводить запросы руками, а ограничивать его встроенным генератором
Не хочется искать программиста - открываешь БД на чтение\запись всем, и вперед...