ASP: hjelp til stringoppbygning, skal sendes til MySQL

[South_Bridge]

Dette dokument får posta msg og title fra et annet skjema. Denne har følgende kode:

 

Dim strSQL

Dim var_msg
var_msg = request.form("msg")

Dim var_title
var_title = request.form("title")

Dim var_date
var_date = Date()


strSQL = "INSERT INTO news (type, title, msg, date, postby, ID) "

strSQL = strSQL & "VALUES ('newspost', "

strSQL = strSQL & var_title & ", "

strSQL = strSQL & var_msg & ", "

strSQL = strSQL & var_date & ", '- Admin', 'NULL')" 

 

Det jeg har prøvd å gjøre er er poste title og msg som kommer fra skjemaet mitt. Jeg får til dette hvis jeg bruker 'tekst' i stedenfor variablene jeg har prøvd meg på :-) Så hva er galt med strSQL?

[kaffenils]

Har du ikke blitt fortalt i en annen tråd at du ALDRI må bygge opp SQL statements på denne måten?

Du skal alltid bruke parameteriserte spørringer.

 

Begynn med å lese her http://msdn2.microsoft.com/en-us/library/m...209(VS.85).aspx

[South_Bridge]

hehe... jeg er litt nub, beklager virkelig. Men dette var måten jeg fant da jeg googla det. men siden du har skillz that killz så kanskje du kunne være grei i vise meg med et eksempel(gjerne ut ifra det jeg har som kode ovenfor)... :-)

 

thanks

[kaffenils]

Nå er det en stund siden jeg brukte ASP, men jeg skal gi det et forsøk.

 

dim cmd
cmd=createobject("ADODB.Command")
cmd.ActiveConnection=conn 'Antar at du allerede har et ADODB.Connection object som heter conn
cmd.CommandType=1
cmd.CommandText="insert into news (type, title, msg, date, postby, ID) values('newpost',?,?,?,'- Admin','NULL')"
call cmd.Parameters.Append(cmd.CreateParameter("title",200,1,50,var_title)) '200 sier at det er varchar, 1 sier at det er et input parameter og 50 er lengden på varchar
call cmd.Parameters.Append(cmd.CreateParameter("msg",200,1,255,var_msg)) ' Tisvarende som over
call cmd.Parameters.Append(cmd.CreateParameter("date",135,1,,var_date)) ' 135 er timestamp
cmd.Execute