ms-access
Zapytania sparametryzowane

Wprowadzenie

Podejście podatne: połączony ciąg SQL z odwołaniami do formularza

Jest to typowe podejście dla początkujących programistów budujących zapytania dotyczące akcji SQL. Są podatne na ataki typu Bobby Tables typu SQL Injection.

Dim strSQL As String

strSQL = "INSERT INTO Employees chrFirstName, chrLastName, chrPhone " _
         & "VALUES ('" & Me!txtFirstName & "','" & Me!txtLastName & "','" & Me!txtPhone & "');"

CurrentDb.Execute strSQL

QueryDef Sparametryzowane podejście do zapytania

Takie podejście zapobiegnie osadzeniu przez użytkownika drugiej instrukcji SQL w danych wejściowych do wykonania.

Dim strSQL As String
Dim db As DAO.Database
Dim qdf As DAO.QueryDef

strSQL = "PARAMETERS [FirstName] Text(255), [LastName] Text(255), [Phone] Text(255); " _
         & "INSERT INTO Employees (chrFirstName, chrLastName, chrPhone) " _
         & "VALUES ([FirstName], [LastName], [Phone]);"

Set db = CurrentDb

Set qdf = db.CreateQueryDef("", strSQL)
qdf.Parameters("FirstName") = Me!txtFirstName
qdf.Parameters("LastName") = Me!txtLastName
qdf.Parameters("Phone") = Me!txtPhone
qdf.Execute

Me!txtFirstName = vbNullString
Me!txtLastName = vbNullString
Me!txtPhone = vbNullString

qdf.Close
db.Close
Set qdf = Nothing
Set db = Nothing

Prawidłowe typy parametrów:

• DATETIME : dla dat (parametr oczekuje Date VBA)
• SHORT , LONG : Dla liczb całkowitych ( SHORT oczekuje liczby całkowitej, LONG oczekuje długości)
• SINGLE , DOUBLE : Dla liczb zmiennoprzecinkowych (należy oczekiwać odpowiednio Single i Double)
• VARCHAR lub TEXT : Dla ciągów
• MEMO lub LONGTEXT : Dla ciągów dłuższych niż 255 znaków