[Risolto] Sqlite3 errore nelle ricerche

[sergio]

Buonasera a tutti , spero che possiate aiutarmi .Nel programma che sto preparando  utilizzo Sqlite3 . Mi sorge un problema , quando vado a  eseguire  una ricerca :   
SQLQuery1.SQL.Text:= 'SELECT * FROM '+Archivio+' WHERE Intest ='''+ Edit2.Text + ''';';
 SQLQuery1.Open;
mi si blocca il programma se Edit2.Text contiene un ( ' )  Apostrofo .
Sapete come poter aggirare il problema ?  La variabile  nel database è una Varchar().
Vi ringrazio anticipatamente !

[DragoRosso]

Se nel testo della query c'è un apostrofo, per usarlo lo devi duplicare.

Quindi devi cercare gli apostrofi in Edit2.text e per ogni apostrofo devi inserirne un altro.

Ciao

[sergio]

ciao , scusa ma io ho provato a usare Replace( miastringa, '' ' '' , '' ' ' '' ) ma  mi da l'errore perche '' ' '' non me lo prende . sai come fare ? Grazie

[nomorelogic]

non l'h oprovato ma così dovrebbe andare

Codice: [Seleziona]

 Replace( miastringa, '''', '''''')

[DragoRosso]

Un consiglio:

quando lavorate con il carattere apostrofo, a codice è meglio che non compaia.

Semplicemente usa questa forma:

Codice: [Seleziona]

ReplaceStr(miastringa, #39, #39#39);

Semplice, visibile e non crea problema alcuno.

Ciao

P.S.: ovvio che come delimitatore di stringa deve essere usato !!! 

[brunello]

ma non è più semplice con

Codice: [Seleziona]

quotedstr(testo)

[DragoRosso]

(?? Si, quello è ancora più veloce ??).

In effetti non usavo quella funzione da tanto tempo, me ne ero dimenticato completamente. 

P.S.:

ma non è più semplice con

Codice: [Seleziona]

quotedstr(testo)

Ahhhh, ecco perchè non la usavo: inserisce i caratteri apostrofo anche in testa ed in coda alla stringa .......


Può essere usata direttamente così:

Codice: [Seleziona]

SQLQuery1.SQL.Text:= 'SELECT * FROM '+Archivio+' WHERE Intest = '+QuotedStr(Edit2.Text)+';';

[SB]

Ti sconsiglio vivamente di usare l'input dell'utente per costruire una query SQL
L'apostrofo potrebbe essere l'ultimo dei problemi
Usa piuttosto le query parametriche
Se proprio vuoi costruire la query usando l'input, ripuliscilo da tutti i caratteri che non siano lettere, cifre e pochi altri
Non lasciare alcun carattere che possa avere un qualche significato per SQL

SQLQuery1.SQL.Text:= 'SELECT * FROM '+Archivio+' WHERE Intest ='''+ Edit2.Text + ''';';

[nomorelogic]

visto che ci siamo io spesso utilizzo questo modo
soprattutto quando voglio costruire una stringa con molti parametri
rimane piuttosto manutenibile anche quando un parametro stringa deve diventare numero  o viceversa

Esempio stringa -> integer: '... ''%s'' ...'
diventa '... %d ...'

Codice: [Seleziona]

SQLQuery1.SQL.Text:= Format('SELECT * FROM Archivio WHERE Intest =''%s'';', [ Edit2.Text ]');

[DragoRosso]

visto che ci siamo io spesso utilizzo questo modo
soprattutto quando voglio costruire una stringa con molti parametri
rimane piuttosto manutenibile anche quando un parametro stringa deve diventare numero  o viceversa

Esempio stringa -> integer: '... ''%s'' ...'
diventa '... %d ...'

Codice: [Seleziona]

SQLQuery1.SQL.Text:= Format('SELECT * FROM Archivio WHERE Intest =''%s'';', [ Edit2.Text ]');

Uhmmm, non sono convinto che funzioni ... ciò che hai scritto, nel caso Edit2 contenga caratteri "speciali" in primis l'apostrofo ritorniamo all'argomento del topic. Non ho provato e forse mi sbaglio.

Io sono abituato, ma è questione di stile e di necessità, intanto a filtrare come dice @SB il contenuto degli input utenti (è per questo che uso sempre replacestr e non qutoedstr). I filtri in genere applicati sono l'inserimento degli escape (carattere che dipende dal database ma che generalmente è il "\") davanti a tutti i caratteri "_" e "%" (che hanno un particolare significato sopratutto nel LIKE), il carattere apostrofo come indicato in questi post, e alle volte anche altri caratteri o parole intere (faccio un esempio di ',' o JOIN, GROUP, ALTER, ESCAPE, etc...) dipendente dal contesto.

In genere poi non uso a codice i caratteri "da tastiera" ma uso i codici letterali (ad esempio non ' ma bensi #39)

Quanto sopra è stato necessario perchè in diversi grossi gruppi, alcuni software che ho fornito sono stati testati contro l'SQL INJECTION e quindi applicare quelle accortezze era il minimo indispensabile.

Diciamo che in genere queste accortezze sono sovraabbondanti, ma dipende sempre dal contesto d'uso.

Saluti

[nomorelogic]

la formattazione avviene nell'array dei parametri
la stringa con la select sql rimane pulita e senza concatenazioni


Edit:
da provare ma con la quote dovrebbe diventare

Codice: [Seleziona]

SQLQuery1.SQL.Text:= Format('SELECT * FROM Archivio WHERE Intest = %s;', [ QuotedStr(Edit2.Text) ]');

[nomorelogic]

Non vorrei che ne uscisse della confusione.
Format non sostituisce gli apostrofi ma utilizzata come ho scritto in "Edit" del post precedente (e cioè con QuoteStr nell'array dei parametri) può essere utile per scrivere in modo chiaro e manutenibile anche una sql complessa con i quote.

[brunello]

per me la soluzione più pulita è questa

Codice: [Seleziona]

SQLQuery1.SQL.Text:= 'SELECT * FROM Archivio WHERE Intest =:par1';
SQLQuery1.ParamByName('par1').Value := Edit1.text;

[DragoRosso]

@nomorelogic
Ho eliminato l'ultimo mio post che poteva creare assoluta confusione e si basava su una "deduzione" non verificata.

[sergio]

Ragazzi , vi ringrazio , ho provato tutte el soluzioni da voi proposte , ma purtroppo quando arrivo all'esecuzione di SQLQuery.Open mi va in errore .
Posto il pezzo di programma , se qualcuno riesce a capire come mai . evidenzio in rosso la Query dove si blocca , vi ringrazio anticipatamente !
 VAR
  Archivio : Ansistring ;
  begin
  if ComboBox1.Text = 'Clienti' Then
  begin
  Archivio := 'Clienti' ;
  SQLite3Connection1.Connected:= False;
 SQLite3Connection1.DatabaseName:= Application.Location + 'archivi'+System.DirectorySeparator+'Clienti.db';
 SQLite3Connection1.Connected:= True ;
  end;
  If ComboBox1.Text = 'Fornitori' Then
  begin
  Archivio := 'Fornitori' ;
  SQLite3Connection1.Connected:= False;
 SQLite3Connection1.DatabaseName:= Application.Location + 'archivi'+System.DirectorySeparator+'Fornitori.db';
 SQLite3Connection1.Connected:= True ;
  end;
  If Edit1.Text = '' then
  if (Edit2.Text <> '')THEN       //and(Edit1.Text = '') then
    Begin
    SQLQuery1.SQL.Text:= 'SELECT * FROM "'+Archivio+'" WHERE Intest = QuotedStr(Edit2.Text) ';
    //   '+ComboBox1.Text+'AND codice = '+Edit1.Text+';' ;
  //  StringGrid1.RowCount:=1;

    SQLQuery1.Open;
      while not SQLQuery1.EOF do
      begin
      if SQLQuery1.Fields[1].Text = Edit2.Text then
       begin
       Edit1.Text:= SQLQuery1.Fields[0].Text;     // codice
       Edit3.Text:= SQLQuery1.Fields[2].Text;     //indirizzo
       Edit4.Text:= SQLQuery1.Fields[3].Text;     // cap
       Edit5.Text:= SQLQuery1.Fields[4].Text;     // citta
       Edit6.Text:= SQLQuery1.Fields[5].Text;    // Nazione
       Edit7.Text:= SQLQuery1.Fields[6].Text;     // telefono1
       Edit8.Text:= SQLQuery1.Fields[7].Text;     // telefono2
       Edit9.Text:= SQLQuery1.Fields[8].Text;      //p.iva
       Edit10.Text:= SQLQuery1.Fields[9].Text;    //cod fisc.
       Edit11.Text:= SQLQuery1.Fields[10].Text;   //  pec
       Edit12.Text:= SQLQuery1.Fields[11].Text;    //codice sdi
       Edit13.Text:= SQLQuery1.Fields[12].Text;   // Provincia

    //    StringGrid1.RowCount:=StringGrid1.RowCount+1;
    //    StringGrid1.Cells[2, StringGrid1.RowCount-1]:=SQLQuery1.Fields[2].Text;
    //    StringGrid1.Cells[3, StringGrid1.RowCount-1]:=SQLQuery1.Fields[0].Text;
    //    StringGrid1.Cells[1, StringGrid1.RowCount-1]:=SQLQuery1.Fields[1].Text;
    //    StringGrid1.Cells[4, StringGrid1.RowCount-1]:=SQLQuery1.Fields[5].Text;
        SQLQuery1.Next;
        end ;
      end;