2

Estou fazendo uma conexão pra buscar dados dentro do banco com uma condição IN(), porém tive dificuldades em implementar isso entre FDQuery e o FireBird.

Analisando o problema percebi que comando SQL estava chegando ao banco em uma condição que era impossível de ser executada, ou nem era aceita pelo FDQuery. Tentei varias formas de tratativa e não deram certo.

Ai apelei pra o que considero como um P.O.G. criando uma variável String inseri ela no meio do SQL com os dados devidamente tratados para que ela fosse recepcionada no banco da forma que o FireBird consegue executar.

FDconsult.SQL.Add('SELECT * FROM PED1A WHERE ID_LOJA IN (');
FDconsult.SQL.Add(consulta);
FDconsult.SQL.Add(')');
FDconsult.Open;

Quais riscos ofereço a minha aplicação fazendo esse tipo de P.O.G.?

2
  • Depende, como você obtém o conteúdo da variável consulta? Pode colocar a forma como você estava fazendo e como estava chegando no banco? Commented 8/11/2018 às 2:00
  • Por questões de lógica não teriam problemas, mas dependendo do banco de dados utilizado pode perder um pouco em questão de performance. Não sei como o firebird trata este caso, mas em determinados bancos, quando a consulta é executada com parâmetros o banco já salva o plano de execução e a próxima vez que a consulta for executada o mesmo não precisa ser feito novamente.
    – Confundir
    Commented 8/11/2018 às 11:01

2 Respostas 2

2

Não vejo riscos na utilização de string no lugar de params.
Porém vejo benefícios na utilização de parâmetros, especialmente se seu sistema é ou algum dia será multibanco.
Isso devido o FireDAC já alterar por exemplo um parâmetro de data para o formato aceito pelo banco conectado.
Se desejar continuar usando params, para solucionar a questão do IN, vc pode usar as MACROS (MacroByName), que é um misto de string pura com params.

1

Utilizamos aqui Firebird também, e te asseguro que não existe risco, até porque tudo se trata de string pura que somente mais tarde será processada pelo banco de dados.

FDconsult.SQL.Clear;{Dependendo do componente é ..SQL.SelectSql.Clear}
FDconsult.SQL.Add('SELECT * FROM PED1A WHERE ID_LOJA IN (' + consulta + ')');
FDconsult.Open;

Da na mesma. Por parâmetro acho meio difícil você utilizar o IN, utilizávamos apenas na cláusula WHERE e trocamos todos para string pura.

Lembrando que se o campo ID_LOJA for varchar todos os items de consulta devem estar entre aspas duplas.

2
  • 1
    consulta := 'SomeValue); DROP DATABASE dbName;'??
    – Ilyes
    Commented 9/11/2018 às 20:27
  • 1
    @Sami, Neste caso ai vai dar erro de sql, porém ele esta falando de riscos e não de falhas de segurança, pois, da mesma forma, o parâmetro é uma string também, mais um detalhe é que consulta seria itens que ele alimenta internamente para passar como "parâmetro" para a execução do SQL. Agora, quem permite que usuário que faz consulta pode realizar um DROP a falha não esta na execução, e sim na permissão. Commented 10/11/2018 às 19:53

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .