Dato i sql statement

Din response bør vel give:
SELECT * FROM [log] where dato="07-01-2009" order by tid

Jeg aner imidlertid ikke hvordan man escaper i ASP :)

Desuden ser det NOGET farligt ud, at du blot indsætter data fra en query string direkte i et SQL-statement!

hmm hvorfor er det farligt? Der er et tjek på en session-login inden, er det så ikke godt nok?

Du boer bruge parameters.

Du kan proeve:

strSQL = "SELECT * FROM [log] where dato='" & request.querystring("dato") &"' order by tid"
Set rs = Conn.Execute(strSQL)

men maaske skal tidsformatet aendres.

Hvad hvis jeg skriver '?dato=dato OR 1=1' i min query string?

eller '?dato=1; DROP table log; SELECT * FROM log' (med sidste SELECT for ikke at få en fejl ved ORDER BY)?

... men nu skal det retfærdigvis siges, at jeg jo ikke ved en kæft om ASP :) I PHP er det no-go!

Det konstante datoformat i access er #datoen#. Derfor må SQL-sætningen komme til at se således ud:

strSQL = "SELECT * FROM [log] where dato=#" & request.querystring("dato") &"# order by tid"
Set rs = Conn.Execute(strSQL)

Men som Arne foreslår, er jeg da også mere tilhænger af command-objektet og parameterløsningen.

set cmd = Server.CreateObject("ADODB.Command")
set cmd.ActiveConnection = Conn
cmd.CommandText = strSQL
cmd.Parameters.Append cmd.CreateParameter("@dato", adDate, adParamInput, 8, Request.QueryString("dato"))
set rs = cmd.Execute()

Se min artikel om samme emne, for detaljer om forudsætningerne for brugen af command-objektet som jeg illustrer overnfor: http://www.eksperten.dk/artikler/1250

Hov! Jeg glemte lige strSQL, den skal så se således ud:

strSQL = "SELECT * FROM [log] WHERE dato=? ORDER BY tid"

Arne> Din sætning giver:
SELECT * FROM [log] where dato='04-01-2009' order by tid
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC Microsoft Access Driver] Data type mismatch in criteria expression.

/logdato.asp, line 25


jensgram > Jeg tjekker jo om du har en rigtig session variabel inden fu får lov at udstede en SQL så er det vel ikke så farligt eller hvad? Jeg er på ingen måde programmeringshaj. Bare en amatør der laver noget til mig selv :)

Softspot > Jeg forstår umiddelbart intet af det du skriver om parametre :S
strSQL = "SELECT * FROM [log] where dato=#" & request.querystring("dato") &"# order by tid"
Set rs = Conn.Execute(strSQL)
giver:
SELECT * FROM [log] where dato=#04-01-2009# order by tid

Men stadig ingen resultater...felterne er stadig tomme

Som softspot skrev bruger Access ## ikke '' omkring datoer.

Jamen Arne_v er det ikke det jeg har prøvet i strSQL = "SELECT * FROM [log] where dato=#" & request.querystring("dato") &"# order by tid"

??

@18:06:12 > Nej, hvis det kun er til dig selv, er der vel næppe den store risiko :p

Jo. Men spoergsmaalet er saa om det er MMDD versus DDMM som driller.

jensgram > Altså nu er der selvfølgelig flere der kan se siden, men kun når man er logget ind (via noget session tjek) kan man se logs og dermed bruge denne sql sætning. Er det ikke sikkert nok så? Det er kun mig der kan logge ind!

arne_v > Du har ret, jeg prøvede manuelt i linket at bytte om på DDMM til MMDD og så virkede det. Men hvis jeg kigger i basen via access så står det også DDMM. Men laver den det om på et eller andet tidspunkt? Og hvad gør jeg?

totalpc > Jo, hvis du véd, at det kun er dig, der får mulighed for at eksekvere sætningen, så skulle der ikke være nogen ko på isen.

ej kom nu gutter :)
Er det ikke forholdvis nemt??
Jeg afsætter lidt flere point

Hvis du bruger parameters, saa ordner driveren/provideren den dato formatering for dig.

Nå nu har jeg forsøgt med din kode softspot.
<%
Set Conn = Server.CreateObject("ADODB.Connection")
DSN = "DRIVER={Microsoft Access Driver (*.mdb)}; "
DSN = DSN & "DBQ=" & Server.MapPath("team-emilie.mdb")
Conn.Open DSN

'strSQL = "SELECT * FROM [log] where dato=#" & request.querystring("dato") &"# order by tid"
'strSQL = "SELECT * FROM [log] where dato='" & request.querystring("dato") &"' order by tid"
'strSQL = "SELECT * FROM [log] where dato=#" & request.querystring("dato") &"# order by tid"
'response.write strsql
'strSQL1 = "SELECT count(*) as antal FROM [log] where dato=" & request.querystring("dato")

'Set rs = Conn.Execute(strSQL)
'Set rs1 = Conn.Execute(strSQL1)

strSQL = "SELECT * FROM [log] WHERE dato=? ORDER BY tid"
set cmd = Server.CreateObject("ADODB.Command")
set cmd.ActiveConnection = Conn
cmd.CommandText = strSQL
cmd.Parameters.Append cmd.CreateParameter("@dato", adDate, adParamInput, 8, Request.QueryString("dato"))
set rs = cmd.Execute()

%>

Men det giver en fejl. Jeg kan nok ikke forstå at sætte det ind i min kode. Kan I hjælpe?

Nå jeg løste det sådan her:

dato = request.querystring("dato")
dato_new = month(dato) & "-" & day(dato) & "-" & year(dato)

strSQL = "SELECT * FROM [log] where dato=#" & dato_new &"# order by tid"

Tak for input. Hvem vil have point?

Ja, jeg bidrog jo ikke det store til _løsningen_, så ellers tak :p

lukker, tak for hjælpen