ASP: ASP variabel inn i SQL spørring

[knut20]

Hei

 

Jeg får en en ID via asp-filen eks: index.asp?ID=2

 

'Her leser jeg inn parametre som blir sendt med i adressen. Typisk: index.asp?ID=2
Dim categoryID
categoryID = Request.QueryString("ID")

 

Denne ID'n vil jeg bruke i denne SQL-spørringen

 

DIM mySQL
mySQL = "SELECT * FROM personer WHERE KAT = ???her må jeg ha inn ID'n??? ORDER BY LINKTEKST"

 

Får det ikke til å funke. Noen som hvet hvordan den korrekte SQL-spørringen må bli?

 

Mvh

Knut

[cyberpet]

prøv med:

 

WHERE KAT = ' " + categoryID + " ' ORDER BY LINKTEKST"

Endret 15. april 2005 av cyberpet

[knut20]

prøv med:

 

WHERE KAT = ' " + categoryID + " ' ORDER BY LINKTEKST"

Takker og bukker

[kaffenils]

prøv med:

 

WHERE KAT = ' " + categoryID + " ' ORDER BY LINKTEKST"

Takker og bukker

Vær klar over at du MÅ gjøre noen valideringer for å forhindre sql-injections når du bruker variabler på den måten.

 

Tenk for eksempel om jeg i webrequestens ID skriver:

 

index.asp?ID=2;delete from personer;--

 

Hva tror du skjer da???

 

NB Ikke prøv hvis du er redd for dataene som ligger i persontabellen!!!