Gültigkeit von Identifier (gelöst) (Datenbanken und Verzeichnisdienste)

[thread]19889[/thread]

Gültigkeit von Identifier [gelöst]

Tags: perl5 Ähnliche Threads

Leser: 17

Articles: hide open all | hide show old branches

+12 replies
Kuerbis

2015-11-16 09:32
User since
2011-03-20
947 Artikel
BenutzerIn
Hallo!

Wenn ich Datenbanknamen, Tabellennamen und Spaltennamen mit Hilfe von SQL-Abfragen (hier mysql) erlange, dann brauche ich diese "Identifier" nicht mehr mit $dbh->quote_idendifier( $identifier ) zu quoten - das Quoten wäre hier sogar falsch. Habe ich das richtig erkannt?
Code (perl): (dl )

1 2

my $stmt = "SELECT schema_name FROM information_schema.schemata ORDER BY schema_name"; my $databases = $dbh->selectcol_arrayref( $stmt, {}, () );
Code (perl): (dl )

1 2

my $stmt = "SELECT table_name FROM information_schema.tables WHERE table_schema = ? ORDER BY table_name"; my $tables = $dbh->selectcol_arrayref( $stmt, {}, ( $schema ) );
Code (perl): (dl )

1 2 3

my $sth = $dbh->prepare( "SELECT * FROM $table LIMIT 0" ); $sth->execute(); my $columns = $sth->{NAME};
- +11 replies
- Muffi
  
  2015-11-16 10:37
  
  User since
  2012-07-18
  1465 Artikel
  BenutzerIn
  
  Ich seh da garkeinen identifier
  1 + 1 = 10
  - +10 replies
  - Kuerbis
    
    2015-11-16 11:08
    User since
    2011-03-20
    947 Artikel
    BenutzerIn
    
    Z.B hier $my_table und $col_1
    
    Code (perl): (dl )
    
    1 2 3 4 5 6 7 8 9 10 11 12 13
    
    my $stmt = "SELECT table_name FROM information_schema.tables WHERE table_schema = ? ORDER BY table_name"; my $tables = $dbh->selectcol_arrayref( $stmt, {}, ( $schema ) ); my $my_table = $tables->[0]; my $sth = $dbh->prepare( "SELECT * FROM $my_table LIMIT 0" ); $sth->execute(); my $columns = $sth->{NAME}; my $col_1 = shift @$columns; my $sth = $dbh->prepare( "SELECT $col_1 FROM $my_table" ); $sth->execute(); $sth->dump_results;
    - +9 replies
    - Muffi
      
      2015-11-16 11:14
      
      User since
      2012-07-18
      1465 Artikel
      BenutzerIn
      
      Ah, ich hab das $ bei table übersehn.
      Doch, $table sollt schon escaped werden.
      Und $col auch.
      
      edit: In dem Fall, wenn das $table aus einem select kommt, der den tablenamen liefert sollts wurscht sein, da ist glaub ich nix böses drin.
      Aber so muss es ja nicht bleiben.
      
      edit2: Und falls es performancekritisch ist, schau mal nach wie gut der Queryoptimizer das herausfinden deiner 1. Spalte optimieren kann.
      Nicht dass der intern nen kompletten select der ganzen Table fährt und erst dann abschneidet.
      mysql hat z.B. auch ein "Show columns"
      Last edited: 2015-11-16 11:27:43 +0100 (CET)
      1 + 1 = 10
      - +8 replies
      - Kuerbis
        
        2015-11-16 13:56
        
        User since
        2011-03-20
        947 Artikel
        BenutzerIn
        
        Was meinst du mit "Aber so muss es ja nicht bleiben."?
        
        +7 replies
        
        Muffi
        
        2015-11-16 14:00
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Mei, irgendwann kann man den Tabellennamen per Parameter überschreiben.
        Oder der Klassiker, der Code verbreitet sich über Copy/Paste und da kommt die Variable nicht aus einer sicheren Quelle.
        Oder jemand schaffts eine SQL-Injection einzuschleusen in die Query, die den tabellennamen selected und plötzlich ist das kein Tabellenname mehr.
        
        Oder anders: 10 Sekunden investieren und alle Parameter Quoten erspart 1 Stunde nachdenken, ob man sie in dem Fall Quoten muss.
        Last edited: 2015-11-16 14:03:09 +0100 (CET)
        1 + 1 = 10
        
        +6 replies
        
        Kuerbis
        
        2015-11-16 15:38
        
        User since
        2011-03-20
        947 Artikel
        BenutzerIn
        
        Was mich beschäftigt ist: was passiert, wenn ein Parameter zweimal gequoted wird?
        
        Muffi
        
        2015-11-16 15:43
        
        User since
        2012-07-18
        1465 Artikel
        BenutzerIn
        
        Ich versteh dein 2mal nicht ganz. (Kann aber auch an mir liegen, ich bin heut nicht ganz da)
        Wo 2mal?
        1 + 1 = 10
        
        +4 replies
        
        GwenDragon
        
        2015-11-16 16:53
        
        User since
        2005-01-17
        14748 Artikel
        Admin1
        
        Dann meckert der SQL-Server garantiert oder du hast nette Daten in deiner DB.
        
        DBIs quote() verhindert sowieso keine unsicheren Sachen. Wenn du das erreichen willst, musst du so programmieren, dass Daten geprüft werden und nicht einfach so in die DB übernommen.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +3 replies
        
        Kuerbis
        
        2015-11-16 17:04
        
        User since
        2011-03-20
        947 Artikel
        BenutzerIn
        
        Hier geht es aber nicht um die Daten, sondern um die Tabellen- und Spaltennamen fürs SQL-Statement.
        
        +2 replies
        
        GwenDragon
        
        2015-11-16 17:26
        
        User since
        2005-01-17
        14748 Artikel
        Admin1
        
        Ja, und? Die Tabellen- und Spaltenbezeichner haben eine bestimmte gültige Syntax, deren Gültigkeit kannst du prüfen.
        
        Und was quote anbelangt, ist das je Modul und nach Datenbank anders wie mit mehrfachen Quoting umgegangen wird.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        Kuerbis
        
        2015-11-16 19:24
        
        User since
        2011-03-20
        947 Artikel
        BenutzerIn
        
        Dann werde ich versuchen, mehrfaches Quoting zu vermeiden.

View all threads created 2015-11-16 09:32.