SQLRPGLE

[Pikachu]

Läufst du da nicht in die Falle einer SQL-Injection?

[malzusrex]

OKay,

ich dachte ich kann mir den PREPARE, DECLARE,... Sparen

Dann werde ich das mal so machen

[dschroeder]

Mit select ... into :xDatenSQL ... nutzt du ja eine Host-Variable (xDatenSQL) innerhalb deiner SQL Anweisung. Das geht nur, wenn du eine "echte" SQL-Anweisung hast (also statisches SQL). Wenn du dynamisches SQL machst, hast du ja erstmal keine echte SQL-Anweisung mehr, sondern einen String, der später interpretiert wird. Da kann er die Hostvariablen dann nicht mehr erkennen. Deshalb ist der Cursor notwendig.

[BenderD]

Läufst du da nicht in die Falle einer SQL-Injection?

... ein vermeintlich schlauer Spruch, unpassend angebracht!!!
- solange der Rest des Statements nicht zugänglich ist, passiert da garnichts!!!
- die üblen Beispiele, die gerne für Injection angebracht werden, funktionieren mit DB2/400 nicht, da der prepare keine 2 Statements durchlässt!!!

D*B

PS: gegen Injection ist ein einfaches Kraut gewachsen, filtern des Eingabestrings.