Discussion :

[SirTurbo]

Salut!

Sur mon site, j'ai un formulaire pour que les gens puissent s'inscrire. Mais avant de les enregistrer, je veux m'assurer qu'ils ne le sont pas déjà.
Je fais donc ceci:

SelectStatementRegister = "SELECT * From Enregistrement WHERE nomEtablissement='" & nomEtablissement.SelectedItem.Value & "' AND numEmploye='" & numEmploye.Text & "'"

Or, la variable nomEtablissement peut contenir un ' (ex: St-François d'Assise) ce qui vient tout dérègler. Je reçois alors le message suivant:

Erreur de syntaxe (opérateur absent) dans l'expression 'nomEtablissement='St-François d'Assise' AND numEmploye='66''.

Il manque donc un ' après le 66(ou tout autre numéro entré) puisque le ' de St-François d'Assise a tout décalé.

Que dois-je faire?

Merci!

[zooffy]

rhooo, lalala, petit débutant ! ! ! !

Essaie de faire un repalce sur tes variables chaine.
Tu remplace le ' par un ' '
tout simplement parce que SQL prens les ' comme séparateur de string et donc il faut les doubler pour anuler leur effet et les conserver dans la chaine.

@+

[SaumonAgile]

rhooo, lalala, petit débutant ! ! ! !

Essaie de faire un repalce sur tes variables chaine.
Tu remplace le ' par un ' '
tout simplement parce que SQL prens les ' comme séparateur de string et donc il faut les doubler pour anuler leur effet et les conserver dans la chaine.

@+

rhooo, lalala, petit débutant aussi !

La bonne méthode est d'utiliser des SqlParameter qui vont eux-même faire l'échappement des caractères spéciaux. Fais une recherche dans le forum, tu trouveras plein de topics qui parlent des SqlParameter.

[lolo007]

C'est même qq chose à faire SYSTEMATIQUEMENT !!! Surtout si c'est des paramètres textuels en get ou des champ texte libre.
C'est la faille de sécurité la plus connue et la plus simple, l'injonction de code.
Imagine qu'un petit vicieux se débrouille pour faire passer un parametre du style ';delete * from enregistrement;

Ca va faire ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
 
SELECT * From Enregistrement WHERE nomEtablissement='...' AND numEmploye='';delete * from enregistrement;

Plutôt pas cool

L.

[mafyoso]

Bonjour

Juste un détail pour faire mon pénible :
"Injection de code" et non pas "Injonction de code"

Sinon essai de mettre un ';delete * from ma_Table dans un formulaire, par curiosité

[/pénible]

A bientôt

[Pol63]

ah oui interressant comme feinte ^^