Báo giá thoát trong một chuỗi trong VB6

Question

Tôi đang cố gắng thực hiện một số thay đổi nhỏ đối với ứng dụng web cũ của VB mà tôi cần phải thêm dấu ngoặc kép bên trong chuỗi mà tôi chưa có may mắn. Chuỗi là

Dim sql As String = "Select * from Usertask Where UserId = " & Session("UserId") & " and JobID=" & ddlReqTask.SelectedValue 

Tôi cần thêm dấu ngoặc kép xung quanh giá trị Session ("UserID").

Answer 1

Bạn có thể sử dụng "" để chèn một trích dẫn vào một chuỗi ví dụ:

dim sometext as String = "Hello ""Frank"" how are you?"

nào mang đến cho bạn

Hello "Frank" how are you?

Answer 2

Để thoát khỏi một báo bạn chỉ cần thêm quote khác, tôi tin rằng đây là những gì bạn cần:

Dim sql As String = "Select * from Usertask Where UserId = """ & Session("UserId") & """ and JobID=" & ddlReqTask.SelectedValue 

Answer 3

Bạn cũng có thể sử dụng Chr(34) trong concatentation.

Dim sql As String = "Select * from Usertask Where UserId = " & Chr(34) & Replace(Session("UserId"), Chr(34), Chr(34) & Chr(34)) & Chr(34) & " and JobID=" & CLng(ddlReqTask.SelectedValue) 

Cả hai cách hoạt động (ví dụ khác và ví dụ này). một số người thích điều này vì nó có thể ít gây nhầm lẫn, tuy nhiên các ví dụ trên không hoàn toàn có thể lãnh đạo và khoa học tên lửa tuyệt đối không được phép.

Answer 4

Đây là lỗ hổng SQL injection và bạn nên NOT. Bằng cách làm theo cách này, bạn cho phép người dùng thực hiện bất kỳ truy vấn nào họ muốn bằng cách cung cấp cho bạn một UserId như

'; DROP TABLE Usertask; -- 

Thay vào đó, hãy sử dụng các thông số. Tùy thuộc vào cách bạn đang thực thi SQL, có nhiều cách khác nhau để thực hiện nó; hãy cho chúng tôi thấy mã thực thi truy vấn SQL.

---

Trong câu trả lời cho câu hỏi của bạn,

Dim StringWithQuotes As String = "Hello, I've got ""Quotes""!" 

Chuỗi này sẽ

Xin chào, tôi đã có "Quotes"!

Answer 5

Hầu hết các máy chủ SQL, theo kinh nghiệm của tôi, cần một trích dẫn duy nhất cho chuỗi. Cách tốt nhất để làm điều đó là để cho .net deside cho bạn, bằng cách sử dụng SQL Parameters. Đây là một mẫu (cũng có trong VB.Net): http://www.knowdotnet.com/articles/dynamicsqlparameters.html
Điều này cũng có lợi ích của bảo mật đối với việc tiêm SQL.

Answer 6

Tôi khuyên bạn nên sử dụng SQL được tham số hóa thay vì xây dựng một câu lệnh SQL adhoc như thế này khi bạn có thể để bản thân mở cho SQL injection. Điều này có nghĩa là bạn không cần phải lo lắng về việc ghép nối các dấu ngoặc kép vào chuỗi, cũng như cải thiện hiệu năng truy vấn (giả sử máy chủ sql) vì nó cho phép thực hiện bộ nhớ đệm kế hoạch thực hiện và tái sử dụng.

ví dụ:

Dim sql As String = "Select * from Usertask Where UserId = ? AND JobID = ?" 

Sau đó thêm 2 ADODB.Parameters đến đối tượng Command để cung cấp các giá trị cho 2 thông số ví dụ

Set param = New ADODB.Parameter 
param.Name = "@UserId" 
param.Direction = adParamInput 
param.Type = adVarChar 
param.Size = (give size of user id field) 
param.value = Session("UserId") 
yourADOCommand.Parameters.Append param 

Và cùng một lần nữa cho tham số JobId.

Answer 7

nó như thế này ..

dim user_id as string="SomePerson" 
debug.print "UserId=" & chr(34) & user_id & Chr(34) 

sản xuất ..

UserID="SomePerson"