Problèmes sur les chaines de caractèresRésolu

Question

Bonjour

J'ai un textbox multilignes dont le contenudoit être enregistré dans une base de données. Il sera ensuite affiché dans des div ou autre. Je souhaiterais pouvoir échapper certains caractères (", ') pour pouvoir insérer le contenu dans ma requête, et éviter par la même occasion l'injection SQL.

Je travaille en visual basic et je n'ai pas trouvé d'équivalent au addslashes() de PHP qui ajoute des \ devant les caractères 'à risque'. J'ai essayé de le faire avec un replace mais le \ n'echappe pas le caractère : " ==> le caractère " est quand même interprété...

Si quelqu'un sais comment faire...

Merci d'avance

jesusonline · Accepted Answer

Bonjour, 

utilises plutot les requetes paramètres qui est BEAUCOUP plus secure et propre qu'un simple replace :-) en plus ce sera typé tu n'auras pas de problème de conversion (notamment pour les dates) 

SqlCommand cmd = new SqlCommand("insert into toto values(@tonchamp)", conn); 
cmd.Parameters.Add("@tonChamp", SqlDbType.nvarchar).Value = "toto'); drop table toto; --')

cmd.ExecuteScalar(); 

<hr />Cyril - MSP - MCTS ASP.net & SQL

cs_ov3rdoze · Answer

Nickel merci

Mais juste par curiosité c'est faisable?

Et autre chose (je débute) : Comment récupérer la chaine de connexion qui est dans le web.config, sans la recopier à chaque fois (ça me semble quand même risqué)?

jesusonline · Answer

si elle dans le web.config à quoi cela servirait de la recopier ? =) 

ConfigurationManager.ConnectionStrings["laconnexion"].ConnectionString 

est-ce faisable ? surement mais à coup de replace ... donc pas beau

<hr />Cyril - MSP - MCTS ASP.net & SQL

cs_ov3rdoze · Answer

Ben je sais que ça sert à rien mais en attendant de savoir comment faire ça dépanne...

En tout cas merci je devrais m'en sortir avec ça

Problèmes sur les chaines de caractères

4 réponses

Votre réponse

Discussions similaires