Como ultilizar Parametros na string SQL

[iNando 0]

olá

gostaria de saber como montar uma string sql

com parametros porfavor um exemplo explicativo

 

hehehe

Para ter mais segurança

 

exemplo da string

 

sql = "SELECT * FROM tabela WHERE campo1=@Param1"

sql = "INSERT INTO tabela (campo1,campo2,campo3) VALUES(@Param1,@Param2,@Param3)"

 

como criar o objeto para escrever esses exemplos acima!

 

Agradecido

[jrcardozo 4]

não entendi. mas acho que você está querendo trabalhar com stored procedures, não seria essa sua duvida?

[iNando 0]

stored procedures são comando do banco de dados correto?

se for não é isso

é comandos no proprio vbscript comandos em asp

o que quero é aumentar a segurança para as informações do banco

 

exemplo

você tem um cadastro de usuario

quando você monta a string do sql

INSERT INTO tabela (NOME,ENDERECO) VALUES('Nometal','endereco tal')

onde fica os valores você pode colocar um codigo de sql e detona o banco ou roubar alguma informação do banco

entendeu?

por isso montamos os sql com os paramentros como no vb.Net

[Adelar Tiemann jr 0]

Ola

 

Cara eu sempre utilizo da seguinte forma

 

sqlSel = "INSERT INTO tabela ("

sqlSel = sqlSel & "NOME"

sqlSel = sqlSel & ",ENDERECO"

sqlSel = sqlSel & ") VALUES("

sqlSel = sqlSel & "'" & VARIAVEL & "'"

sqlSel = sqlSel & ",'" & VARIAVEL & "'"

sqlSel = sqlSel & ")"

 

db.execute sqlSel

 

ai para fazer o teste e ver se ficou como você deseja no lugar de

db.execute sqlSel

coloque response.write sqlSel

 

vlw ae

[iNando 0]

adelar sim esse metodo funciona mas é muito vulneravel

a robar informações do banco de dados

 

por isso pesquizei e ja tinha visto muito tempo atraz falar sobre os parametros

uma consulta parametrizada

 

o Jonathan estava certo eu errei por nao compreender como funciona o sistema

consegui algumas informações mas nao consigo fazer funcionar

tem que escrever a consulta no proprio banco de dados

 

exemplo

veja aqui

 

mas estou com erros

 

ADODB.Command erro '800a0bb9' 

Os argumentos são incorretos, estão fora do intervalo aceitável ou estão em conflito.

na linha onde cria o parametro

 

Set ParamTexto = cmd.CreateParameter("[:texto]",adVarChar,AdParamInput,200,CStr(request.form("texto")))
   cmd.Parameters.Append ParamTexto

alguem pode ajudar

[iNando 0]

alguem sabe como fazer isso! to quebrando a cabeça aqui :blink: