MS SQL Server ошибка хранимая процедура «неправильный синтаксис»

Question

Это моя хранимая процедура:

ALTER PROCEDURE its.sp_WriteTransaction 

    (
    @LoginID int, 
    @PersonID int, 
    @BusinessID int, 
    @TransType smallint, 
    @LastHost varchar(15), 
    @TransData varchar(255) 
) 

AS 

DECLARE @TransDate DATETIME 
SET @TransDate = GETDATE() 

INSERT INTO Transactions (LoginID, PersonID, BusinessID, TransDate, TransType, LastHost, TransData) 
VALUES (@LoginID, @PersonID, @BusinessID, @TransDate, @TransType, @LastHost, @TransData) 
RETURN 

Это мое призвание линия:

sql = "sp_WriteTransaction" & " " & Session("UserID") & "," & Session("PersonID") & "," & Session("bizID") & "," & TransType & "," & ClientIP & "," & TransData 

Но каждый раз, когда я запускаю его я получаю следующее сообщение об ошибке :

сообщение об ошибке:

Тип ошибки: Microsoft OLE Поставщик БД для SQL Server (0x80040E14) Строка 1: Неправильный синтаксис около '.0'. /etearsheets/authorize/CheckAccess.asp, строка 1163

Что не так в IP-формате, вызывающем ошибку «.0» и как его исправить?

Благодаря Р.

Answer 1

Вы не включая цитаты для ваших varchar столбцов.

Попробуйте это:

sql = "sp_WriteTransaction" & " " & Session("UserID") & "," & _ 
    Session("PersonID") & "," & Session("bizID") & "," & _ 
    TransType & ",'" & ClientIP & "','" & TransData & "'" 

Это не успеваю на IP-адрес, так как 127.0.0.1 не является числом. Вы в настоящее время пытаетесь передать его как float, который использует только одно десятичное число. Охват его в одинарных кавычках заставляет SQL анализировать его как строку.

Answer 2

вам нужно установить одинарные кавычки вокруг значения ClientIP.

Answer 3

Как и другие, вы не одиночные параметры цитирования.

Предполагая ...

Session("UserID") = 0000 
Session("PersonID") = 4321 
Session("bizID") = 1234 
TransType = "GET" 
ClientIP = "192.168.1.1" 
TransData = "xyz" 

затем выполняет следующие ...

sql = "sp_WriteTransaction" & " " & Session("UserID") & "," & Session("PersonID") & "," & Session("bizID") & "," & TransType & "," & ClientIP & "," & TransData 
response.write(sql) 

даст ...

sp_WriteTransaction 0,4321,1234, GET, 192.168.1.1, xyz

Что еще более беспокоит то, что вы передаете незакодированные строки в SQL, потому что это оставляет вас уязвимыми для атак SQL Injection. В этом случае похоже, что все данные могут быть получены без какого-либо происхождения клиента, но, учитывая природу/наивность вашего вопроса, я подозреваю, что вы, вероятно, уязвимы в других местах.

Вот пример того, как вы можете защитить ваш SQL

Session("UserID") = 11111 
Session("PersonID") = 4321 
Session("bizID") = 1234 
TransType = "GET" 
ClientIP = "192.168.1.1" 
TransData = "xyz" 

sql = "sp_WriteTransaction {0},{1},{2},{3},{4},{5}" 
parameters = Array(Session("UserID"),Session("PersonID"),Session("bizID"),TransType,ClientIP,TransData) 

Function BuildSQL(query, params) 
    Dim result : result = query 

    If Not IsArray(params) Then 
     BuildSQL = Null 
     Exit Function 
    End If 

    Dim i 
    For i = lbound(params) to ubound(params) 
     result = replace(result,"{" & i & "}",SQLEncode(params(i))) 
    Next 

    BuildSQL = result 
End Function 

Function SQLEncode (uVar) 
    If IsNull(uVar) Then 
     SQLEncode = "null" 
    Else 
     SQLEncode = "'" & replace(uVar,"'","''") & "'" 
    End If 
End Function 

Response.Write BuildSQL("sp_WriteTransaction {0},{1},{2},{3},{4},{5}",parameters) 

Этот код выводит следующее ...

sp_WriteTransaction '11111', '4321', '1234',» GET '' 192.168.1.1' , „хуг“

Вы можете взять это шагом вперед, поставив SQLEncode и BuildSQL в свой собственный файл DataAccess.inc и сделать его доступным во всех ваших ASP-файлы с включаемым заявлением.

например.

<!-- #include file="DataAccess.inc"--> 

Для этого вам необходимо иметь на стороне сервера Включает включен в IIS и убедитесь, что относительный путь в #include утверждение верно.