Discussion :

[Nathanael Marchand]

Effectivement, en pratique, dans un SI correctement configuré, on évite que l'utilisateur applicatif puisse faire des operations comme DROP TABLE et DROP DATATABLE (qui sont rarement utiles dans un déroulement normal). Néanmoins, il reste le TRUNCATE ou le DELETE qui sont facheux

[Immobilis]

C'est certain. Après pour un site de commerce electronique par exemple, il n'y a aucune raison que l'utilisateur ait d'autres droits que SELECT, ou INSERT sur la table CLIENT ou COMMANDES.
A l'époque ou mon ancienne boite était très attaquée, j'ai fait ce petit récapitulatif: http://www.developpez.net/forums/d59...njections-sql/. Et puis: http://www.developpez.net/forums/d87...ss-proprement/.

A+

[zooffy]

En DEV oui, je suis avec un utilisateur de type sa, plus simple sur ma machine.
Mais en prod, non, non, surtout pas, je n'ai pas commis cette erreur, je ne la fais plus depuis 1999 !!!!!

Le User en prod peut lire et écrire des données. Il peut aussi en supprimer.
Mais les opérations sur les tables ou sur la base entière ne lui sont pas accessible.
C'est peut-être pour ça que les gars du côté SQL m'ont dit que j'étais safe.

Maintenant, comme j'ai dis, ce sont des conseils que j'ai reçu de gens en qui j'avais confiance. Je ne suis pas si débutant que ça, tout de même.
Je fais des sites en ASP 3.0 depuis 1998 et en VB.NET depuis 2004.
Mais je ne suis pas un crack en sécurité, j'avoue.

[zooffy]

Bon, je m'en sors pas pour adapter le code avec les using.

En repartant de cela, est ce que vous pourriez m'aider à modifier la chose :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
 
        public DataTable RetournerTable(string requete)
        {
            try
            {
                // On assigne une requête parametrée à la commande
                SqlCommand commande = new SqlCommand(requete);
 
                // On lui assigne une connexion
                commande.Connection = this.Conex;
 
                Adapteur = new SqlDataAdapter(commande);
                SqlCommandBuilder oCommandBuilder = new SqlCommandBuilder(Adapteur);
 
                Table = new DataTable();
                Conex.Open();
                Adapteur.Fill(Table);
                return Table;
            }
            catch (Exception ex)
            {
                SystemC.Outils.Logage(ex.Message);
                SystemC.Outils.Logage(requete);
            }
            finally
            {
                this.Conex.Close();
            }
            return new DataTable();
        }

Aprés je pense que j'arriverais à faire celle qui retourne un scalaire tout seul.
Mais ajouter les parameter et transformer avec le using, j'y comprends rien.
Rien que la première ligne pour déclarer la fonction, je comprends pas.

Merci d'avance.

[Immobilis]

Les exemples ici peuvent t'aider: http://dotnet.developpez.com/faq/asp...onet_procstock

Je remarque dans ton code que la connexion ainsi que le SqlDataAdapter sont déclarés en dehors de la méthode. Ils ne peuvent pas être utilisés dans un using. Les autres objets (SqlCommand, SqlCommandBuilder) oui.

Attention, selon les recommandations de MS les classes qui utilisent des objets disposables doivent implémenter IDisposable si tout les objets ne sont pas utilisés dans des using. C'est ton cas il me semble. Un exemple d'implémentation ici: http://immobilis.developpez.com/tuto...work/#LIII-B-1

EDIT Cela pourrait donner:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
public DataTable RetournerTable(string requete)
{
    try
    {
        // On assigne une requête parametrée à la commande
        using (SqlCommand commande = new SqlCommand(requete))
        {
            // On lui assigne une connexion
            commande.Connection = this.Conex;
 
            Adapteur = new SqlDataAdapter(commande);
            using (SqlCommandBuilder oCommandBuilder = new SqlCommandBuilder(Adapteur))
            {
                Table = new DataTable();
                Conex.Open();
                Adapteur.Fill(Table);
                return Table;
            }
        }
    }
    catch (Exception ex)
    {
        SystemC.Outils.Logage(ex.Message);
        SystemC.Outils.Logage(requete);
    }
    finally
    {
        this.Conex.Close();
    }
    return new DataTable();
}

[Immobilis]

Perso, pour faire simple j'aurai fait:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
public DataTable RetournerTable(string requete)
{
    DataTable table = new DataTable();
    try
    {
        using (SqlConnection conex = new SqlConnection(ConfigurationManager.ConnectionStrings["ChaineDeConnexion"].ConnectionString))
        {
            // On assigne une requête parametrée à la commande
            using (SqlCommand commande = new SqlCommand(requete))
            {
                // On lui assigne une connexion
                commande.Connection = conex;
 
                using (SqlDataAdapter adapteur = new SqlDataAdapter(commande))
                {
                    using (SqlCommandBuilder oCommandBuilder = new SqlCommandBuilder(adapteur))
                    {
                        conex.Open();
                        adapteur.Fill(table);
                    }
                }
            }
        }
    }
    catch (SqlException ex)
    {
        SystemC.Outils.Logage(ex.Message);
        SystemC.Outils.Logage(requete);
    }
    return table;
}

[tomlev]

Et avec les paramètres :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
public DataTable RetournerTable(string requete, SqlParameter[] parameters)
{
 
    ...
 
 
    command.Parameters.AddRange(parameters);
 
    ...

[zooffy]

Salut tout le monde.

Le wwek-end a été bon ? Moi, oui, trés bien.

Alors je me remets sur le métier pour bosser la fameuse classe d'accés aux données.
D'abords merci pour les morceaux de code, c'est super cool.
J'ai tout compris dans le détail mais je bloque sur des choses que j'ai oublié d'exprimer plus tôt.

Alors :
- la chaine de connexion est envoyée en paramettre pour le cas où plusieurs chaine serait définir dans leweb.config, en imaginant le cas un peu rare d''avoir plusisuer accès à des données en fonction de ce qu'il faut aller chercher.
- il faut deux fonctions pour retourner sois une DataTable soit une string (dans le cas d'une valeur scalaire)

Du coup, sans compter le fait j'ajouter les paramettres, j'ai un peu de mal à reconceptualiser la classe. Mon idée est de ne pas répéter trop de code.
Par exemple, la connexion à la base de donnée, avant je la faisais dans le New et je mettais la connexion en property. Comme ça les deux fonctions accèdaient directement à la connexion précédement établie.
Là, avec les using, je retrouve plus mes petits parce que je comprends pas le fonctionnement de ces trucs là.

Est ce que vous pourriez m'expliquer avec une autre tournure que ce que j'ai lu dans la MSDN ?

[zooffy]

Bon, pour l'instant j'ai un peu fait deux fonctions presque identiques, je verrais plus tard à "factoriser" le code.

Par contre je bloque sur les paramettres. Tels qu'ils sont exprimé dans ton bout de code TomLev, VS me dit que :

Erreur 1 'SystemC.AccessData.RetournerTable(string, System.Data.SqlClient.SqlParameter[])' est un 'méthode' mais est utilisé comme un 'type' D:\inetpub\SystemC\Default.aspx.cs 31 54 http://www.systemc.maison/

Lorsque j'essaie de faire un truc comme ça dans une page :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
SqlParameter LParam = new SqlParameter();
 
        DataTable VerifSite = new SystemC.AccessData.RetournerTable("",LParam);

Et en plus je sèche sur comment ajouter le paramettre dans LParam.
Je cherche dans la MSDN mais je ne trouve que des exemples avec un SQLCommand.

[Immobilis]

VS me dit que :

Essaye comme ça:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

DataTable VerifSite = new SystemC.AccessData().RetournerTable("",LParam);

Si le constructeur de AccessData attend des paramètres il faut les ajouter.

Pour ce qui est des using, tu peux considérer que tout ce qui est créé à l’intérieur (entre les accolades) n'existe pas en dehors et sera correctement détruit (pas besoin d'appeler le close et dispose. Le reste ne change pas.

A+

[Immobilis]

Ou sinon:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
 
DataTable VerifSite = new DataTable();
using(AccessData ad = new AccessData())
{
    VerifSite = ad.RetournerTable("",LParam);
}
return VerifSite;

[zooffy]

Ok, merci immobilis, j'ai bien compris les using maintenant (enfin j'espère).

Pour les () sur le AccessData, oui, c'est mieux.

Mais je reste quand même avec un sousic sur les paramettres qu'il ne veut toujours pas me prendre.
Et là, je comprends pas pourquoi.

[Immobilis]

Quel est le code de ta méthode RetournerTable?

[zooffy]

Le code est le suivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
 public static DataTable RetournerTable(string rq, SqlParameter[] param)
        {
            DataTable Table = new DataTable();
            try
            {
                using (SqlConnection sqlcon = new SqlConnection(System.Configuration.ConfigurationManager.ConnectionStrings["DataDev"].ConnectionString))
                {
                    //On assigne une requête paramétrée à la commande
                    using (SqlCommand cmd = new SqlCommand(rq))
                    {
                        //on lui assigne une connexion
                        cmd.Connection = sqlcon;
                        //on lui ajoute les paramettres
                        cmd.Parameters.AddRange(param);
                        using (SqlDataAdapter Adaptateur = new SqlDataAdapter(cmd))
                        {
                            using (SqlCommandBuilder oCmdBuilder = new SqlCommandBuilder(Adaptateur))
                            {
                                sqlcon.Open();
                                Adaptateur.Fill(Table);
                            }
                        }
                    }
                }
            }
            catch(SqlException ex)
            {
                SystemC.Outils.Logage(ex.Message);
                SystemC.Outils.Logage(rq);
            }
            return Table;
        }

A peu de chose près ce que tu as proposé.

Dans ma page je l'appelle comme cela :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
SqlParameter LParam = new SqlParameter("urlsite",urlsite);        
        DataTable VerifSite = new SystemC.AccessData().RetournerTable("EXEC CORE_VerifSiteExiste @urlsite",LParam);

urlsite est une string créé un pue audessus dans le code.

Et le message d'erreur est le suivant sur le new :

Erreur 1 La méthode surchargée correspondant le mieux à 'SystemC.AccessData.RetournerTable(string, System.Data.SqlClient.SqlParameter[])' possède des arguments non valides D:\inetpub\SystemC\Default.aspx.cs 33 31 http://www.systemc.maison/

et sur le LParam en tant qu'argument de la fonction RetournerTable

Erreur 2 Argument '2'*: impossible de convertir de 'System.Data.SqlClient.SqlParameter' en 'System.Data.SqlClient.SqlParameter[]' D:\inetpub\SystemC\Default.aspx.cs 33 108 http://www.systemc.maison/

Là, je patauge total.

[Nathanael Marchand]

Si tu fais bien attention, d'un côté tu as ta méthode qui s'attend à recevoir un SqlParameter[] et toi tu lui passes un SqlParameter... Ca ne peut pas marcher!

[Immobilis]

Lorsque j'essaie de faire un truc comme ça dans une page :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SqlParameter LParam = new SqlParameter();

Argh! Tu instancies un SqlParameter dans une page web? Une interface ne devrait pas avoir de référence à un SGBD. Le préfixe "SQL" ne devrait jamais apparaître ailleurs que dans la DAL (même pas dans la BLL).

[zooffy]

Merci pour votre aide mais là, je patauge encore plus.

Alors la différence entre un SQLParameter[] et un SQLParameter ça m'échappe totalement.
En gros tu essaies de me dire qu'un singe veut manger une banane et que je lui donne une banane et que ça va pas, du coup je me dit que le singe il est pas cool du tout.
J'ai essayé de faire ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SqlParameter LParam = new Parameter["urlsite",urlsite];

mais ça lui va pas du tout.

Ensuite, SQLParameter sans le SQL ben ça lui va pas du tout non plus.

Et c'est quoi une "BLL" ?

Avez vous une explication un poil plus claire ?

[Immobilis]

En gros tu essaies de me dire qu'un singe veut manger une banane et que je lui donne une banane et que ça va pas

En fait, ton singe veut une caisse de bananes et tu ne lui en donne qu'une

Les crochets sont pour déclarer un tableau.

Et c'est quoi une "BLL" ?

Voir ici: http://immobilis.developpez.com/arti...uches-asp-net/

[Nathanael Marchand]

Pour le coup, je pense vraiment qu'il faudrait que tu reprennes les bases de C# via un tutoriel.
SQLParameter[] signifie que c'est un tableau d'objets SQLParameter ce qui n'est pas du tout la même chose.

[zooffy]

Donc les crochets c'est pas ce qui remplace les parenthèses en VB si je comprends bien.

Bon, OK, donc SQLParameter[] c'est un tableau de SQLParameter, je commençais à m'en douter un poil.

Donc je vais exprimer la question qui est sous jacente : comment on fabrique un tableau de SQLParameter, ça je trouve pas d'exemple et les tutos que j'ai sous la main ne m'explique pas ou alors avec des formules tellement alambiquée, que je comprends pas.

Il ne faut pas oublier que je fais du VB.NET par la force des choses. Je programme ASP 3.0 à la base, donc en scripting.
Je ne suis pas allé à l'école d'ingé pour apprendre un langage objet (en fait, j'ai même pas fait d'école d'ingé).

Merci pour votre aide.