5 svar · 267 visningar · startad av bigsky
I en sträng från en sökformulär kommer informationen i följande format:
'ett', 'tva', 'tre', osv.
Hur delar jag upp strängen och lägger vart och ett av värdena på en egen rad i en databaskolumn?
arrFoo = split("'ett', 'tva', 'tre'", ", ")
for i = 0 to ubound(arrFoo)
strSQL = "INSERT INTO Foo (Bar) VALUES (" & arrFoo(i) & ")"
'exekvera
next
Hello SQL-injection! :o
Huh?
Jo, SQL injection ska man alltid ha i bakhuvudet. Och om man har det i bakhuvudet är det nog inte en så bra idé att skicka med apostroferna runt värdet, utan lägga till dem när man ska använda värdena i sina sql-frågor. Och replace:a övriga apostrofer så klart...
*kliar sig i huvet en aning...* :r
Ett snabbt förslag till lösning:
*) I formuläret; byt ut apostroferna runt värdena mot något annat som inte finns i värdena, exempelvis ¤.
*) När du tar emot, ta hand om eventuella apostrofer med en replace
*) Replace:a ¤ till ' och kör.
Man kan självklart lösa allt med lite loopar om man nu hellre skulle vilja det...
Så här skulle man kunna skriva:
arrFoo = Split("'ett', 'tva', 'tre'", ", ")
For i = 0 To UBound(arrFoo)
val = arrFoo(i)
val = Mid(val, 2, Len(val) - 2)
strSQL = "INSERT INTO Foo(Bar) VALUES('" & Replace(val, "'", "''") & "')"
'exekvera
Next