🚀 go-pugleaf

Jibe wrote:

> Ik moet via een asp pagina zoeken in een access databank. Alles werkt
> perfect tot wanneer ik zoek op namen met een ' in. Hoe kan ik zorgen dat
> hij in het sql commando de ' toch goed doorgeeft. Ik heb het al geprobeerd
> met een \' in het sql commando maar dat blijkt niet te lukken. Hier dus
> een voorbeeld sql commando:
> "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" & Naam "';"
> Het probleem is dus dat als in de variabele naam een ' voorkomt hij dus
> die eerste ' afsluit.

Ken niks van asp en access, maar dit wordt normaal opgelost door te escapen.
In de shell gebeurt bv dit door de '\'.
bv
$foo wordt aanzien in de shell als een variabele, maar \$foo wordt aanzien
als letterlijk '$foo'.
Of asp hetzelfde escape-teken gebruikt, weet ik niet.
-- 
Blood, sweat & tears

Linus Torvalds about the GPL:
"It's not just a crazy idea that some lefty Commie hippie dreamed up in a
drug-induced stupor."

"Jibe" <denlievenDITMOETWEG@hotmail.com> wrote in message
news:400d04fc$0$1122$6c56d894@feed0.news.be.easynet.net...
> Ik moet via een asp pagina zoeken in een access databank. Alles werkt
> perfect tot wanneer ik zoek op namen met een ' in. Hoe kan ik zorgen dat
hij
> in het sql commando de ' toch goed doorgeeft. Ik heb het al geprobeerd met
> een \' in het sql commando maar dat blijkt niet te lukken. Hier dus een
> voorbeeld sql commando:
> "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" & Naam "';"
> Het probleem is dus dat als in de variabele naam een ' voorkomt hij dus
die
> eerste ' afsluit.
>

Vervang in Naam alle single quotes door 2x single quote:
"SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" &
Replace(Naam,"'","''") & "';"

"SLE" <info@NOSPAM.dataworx.be> schreef in bericht
news:buj352$3ou$1@reader11.wxs.nl...
> "Jibe" <denlievenDITMOETWEG@hotmail.com> wrote in message
> news:400d04fc$0$1122$6c56d894@feed0.news.be.easynet.net...
> > Ik moet via een asp pagina zoeken in een access databank. Alles werkt
> > perfect tot wanneer ik zoek op namen met een ' in. Hoe kan ik zorgen dat
> hij
> > in het sql commando de ' toch goed doorgeeft. Ik heb het al geprobeerd
met
> > een \' in het sql commando maar dat blijkt niet te lukken. Hier dus een
> > voorbeeld sql commando:
> > "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" & Naam "';"
> > Het probleem is dus dat als in de variabele naam een ' voorkomt hij dus
> die
> > eerste ' afsluit.
> >
>
> Vervang in Naam alle single quotes door 2x single quote:
> "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" &
> Replace(Naam,"'","''") & "';"
>
>
Bedankt voor het antwoord, ik heb dat hier zojuist geprobeerd, maar dan
krijg ik in mijn SQLstring gewoon 2 single quotes "SELECT NOM_NAAM FROM
PROFESS WHERE NOM_NAAM LIKE 'D''haeze';"

alvast bedankt,

Lieven

Was it not Jibe who claimed:

> 

>>
>> Vervang in Naam alle single quotes door 2x single quote:
>> "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" &
>> Replace(Naam,"'","''") & "';"
>>
>>
> Bedankt voor het antwoord, ik heb dat hier zojuist geprobeerd, maar dan
> krijg ik in mijn SQLstring gewoon 2 single quotes "SELECT NOM_NAAM FROM
> PROFESS WHERE NOM_NAAM LIKE 'D''haeze';"
> 
> alvast bedankt,
> 
> Lieven

inderdaad, dat moet je trouwens altijd doen als je user input in een sql
string ingeeft, om te vermijden dat men met uw sql statement kan knoeien.

Er zijn genoeg voorbeelden van manieren om in te loggen of databases te
deleten wanneer men de quotes niet ontdubbelt. Een google zoekopdracht op
"SQL injection" zou veel moeten onthullen

stel je voor dat iemand iets invult genre "x'; drop table
profess;":
SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE 'x'; drop table
profess;';

"Tom Vergote" <tomhatesspam@tomvergote.reallyhatesspam.be> schreef in
bericht news:pan.2004.01.20.20.38.47.352593@tomvergote.reallyhatesspam.be...
> Was it not Jibe who claimed:
>
> >
>
> >>
> >> Vervang in Naam alle single quotes door 2x single quote:
> >> "SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE '" &
> >> Replace(Naam,"'","''") & "';"
> >>
> >>
> > Bedankt voor het antwoord, ik heb dat hier zojuist geprobeerd, maar dan
> > krijg ik in mijn SQLstring gewoon 2 single quotes "SELECT NOM_NAAM FROM
> > PROFESS WHERE NOM_NAAM LIKE 'D''haeze';"
> >
> > alvast bedankt,
> >
> > Lieven
>
> inderdaad, dat moet je trouwens altijd doen als je user input in een sql
> string ingeeft, om te vermijden dat men met uw sql statement kan knoeien.
>
> Er zijn genoeg voorbeelden van manieren om in te loggen of databases te
> deleten wanneer men de quotes niet ontdubbelt. Een google zoekopdracht op
> "SQL injection" zou veel moeten onthullen
>
> stel je voor dat iemand iets invult genre "x'; drop table
> profess;":
> SELECT NOM_NAAM FROM PROFESS WHERE NOM_NAAM LIKE 'x'; drop table
> profess;';
>
>
ahh ok bedankt voor de uitleg. Door die replace functie toe te voegen doet
het inderdaad dat gene wat ik verlang. Bedankt voor de info.

grt,

Lieven
www.pcdepot.be