Спец символы в теле запроса к БД MYSQL

[netdemon]

Есть вот такой код:

Код: Выделить всё

sql = "SELECT `id` FROM `RECL_addresses` WHERE `name`=""" & Combo1.Text & """;"
org = MySQL.MySQL.Execute(sql)("id")

Его задача получить id записи по полю Name. Используя в качестве параметра строку из combo.

Если в combo будет текст с двойными кавычками - выдаёт ошибку синтаксиса запроса. Как обработать строку или изменить запрос чтобы такого не происходило.

[Хакер]

Экранировать. Ты вообще с луны свалился что-ли? Как можно не знать про экранирование.

[netdemon]

Экранировать. Ты вообще с луны свалился что-ли? Как можно не знать про экранирование.

На PHP вопросов нет. Как сделать это на VB не догоняю. Извини конечно что я такой тупой.

[Хакер]

Точно так же, как в PHP.

[netdemon]

Точно так же, как в PHP.

В PHP есть функции специальные для экранирования: mysql_escape_string(). А в VB?

[Хакер]

А в VB нет специальной функции экранирования. Ты её должен написать сам, ибо это архипросто.

[netdemon]

А в VB нет специальной функции экранирования. Ты её должен написать сам, ибо это архипросто.

В общем нужно написать простейший парсер строки, экранирующий специальные символы.
Строка: ОАО "Ижевский мотозавод "Аксион-холдинг" - должна стать такой : ОАО \"Ижевский мотозавод \"Аксион-холдинг\"?
По логике именно такой, но на неё тоже ругается.

[Хакер]

Всех, кто говорит «ругается», и не уточняет, какой именно фразой ругается — нужно расстрелять

[netdemon]

Всех, кто говорит «ругается», и не уточняет, какой именно фразой ругается — нужно расстрелять

RUNtime error `3021`

BOF или EOF имеют значение true

Не могёт найти запись я так понимаю.
А всё потому что я забыл, что поставил экранирующие символы в значении поля в самой базе чтоб проверить через combo. Всё заработало. Осталось парсер написать.
Спасибо

[Хакер]

В значении поля не должно быть экранирующих символов.

[netdemon]

Вот что получилось:

Код: Выделить всё

Public Function Escape(str As String) As String
   Dim sbuf As String
   Dim res As String
     
     For i = 1 To Len(str)
            sbuf = Mid$(str, i, 1)
            If sbuf = Chr(34) Then sbuf = "\" & sbuf
            res = res & sbuf
     Next i

Escape = res

End Function

[Хакер]

Мозг не хочешь включать.
Фигню написал ты.
Кавычка — не единственный спецсимвол. База после такого таланта, как ты, будет уложена хакером с помощью SQL-инъекции моментально.

[netdemon]

Мозг не хочешь включать.
Фигню написал ты.
Кавычка — не единственный спецсимвол. База после такого таланта, как ты, будет уложена хакером с помощью SQL-инъекции моментально.

Я в курсе.
База в локальной сети. Функцию, с учётом всех вариантов, перепишу завтра. Сегодня уже поздно. Мне нужно было понять саму суть процесса. Я её понял. Проверил-работает. Спасибо тебе большое за совет, учту. И спокойной ночи.

[netdemon]

Хакер, подскажи какие ещё символы стоит экранировать кроме [%], ["], [ ' ]?

[FireFenix]

находим http://dev.mysql.com/doc/refman/5.1/en/ ... tring.html
смотрим что экранирует http://dev.mysql.com/doc/refman/5.1/en/ ... -sequences

[iGrok]

%

Зачем его экранировать?!

находим http://dev.mysql.com/doc/refman/5.1/en/ ... tring.html
смотрим что экранирует http://dev.mysql.com/doc/refman/5.1/en/ ... -sequences

Не совсем так. Второй список - это вообще поддерживаемые escape-последовательности.

А вот что экранируется:

Characters encoded are “\”, “'”, “"”, NUL (ASCII 0), “\n”, “\r”, and Control+Z

[Qwertiy]

%

Зачем его экранировать?!

На случай like? Но тогда надо не только его... Ну и запрос соответствующим образом составлять.

[iGrok]

На случай like? Но тогда надо не только его... Ну и запрос соответствующим образом составлять.

На случай like нужно вообще отдельно обрабатывать строки, входящие в like. И строить запрос, да.
А на все остальные случаи % экранировать не только не нужно, но и нельзя.