Discussion :

[moustaf_26]

j'essai de utiliser 2 dates dans une requete mais ça passe pas soit le morceau de la requete:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
 resultat.SQL.Add('where '+table+'.code_tpd = temps.code_tpd' );
   ShowMessage('and jour between '+ datetostr(d1.Date)+' and '+ datetostr(d2.Date));
   resultat.SQL.Add('and jour between  '+datetostr(d1.Date)+' and '+ datetostr(d2.Date));

   resultat.SQL.Add('group by ');

[Ph. B.]

Bonjour, il manque des quotes dans ta chaine !
L'analyseur syntaxique SQL va voir :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

and jour between  01/10/2011 and 31/10/2011

alors que, pour que ce soit correct, il devrait lire

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

and jour between '01/10/2011' and '31/10/2011'

Tu aurais du écrire

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

resultat.SQL.Add('and jour between ' + QuotedStr(DateToStr(d1.Date)) + ' and ' + QuotedStr(DateToStr(d2.Date)));

L'idéal étant bien entendu de passer par des paramètres qui évitent tout risque d'injection SQL...
--
Philippe.

[SergioMaster]

de plus le format jj/mm/aaaa n'est pas toujours celui du SGBD
pour Interbase ou firebird par exemple c'est mm/jj/aaaa ou jj.mm.aaaa

L'idéal étant bien entendu de passer par des paramètres

[edam]

L'idéal étant bien entendu de passer par des paramètres qui évitent tout risque d'injection SQL...

+1

[adelneo]

Donnez nous plus de détails: SGBD utilisé et structure des tables.

[moustaf_26]

Donnez nous plus de détails: SGBD utilisé et structure des tables.

excusez les gars, en fait je pensez avoir mis resolu, ce que Ph.B a expliqué a resolus. j'utilise oracle, alors..... il gere les dates avec une certaine souplesse.
pour ce qui est de injection sql, etant donné que mes tables ne sont connu à l'avance, je ne peux faire que de cete maniere, ou bien y a til une solution?
merci.

[adelneo]

Pour éviter les injections tu dois apprendre à utiliser les requêtes paramétrées:

Pour ton example:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
resultat.SQL.Add('and jour between  :param1 and :param2');
resultat.Params.ParamByName('param1').AsDate:=d1.date;
resultat.Params.ParamByName('param2').AsDate:=d2.date;
...
resultat.open;