27/02/2008, 06:23
|
| | | Fecha de Ingreso: septiembre-2005
Mensajes: 135
Antigüedad: 19 años, 7 meses Puntos: 1 | |
| Re: Parametrizar sentencias SQL
Una pregunta a todo esto Myakire sobre todo,
que diferencia hay de usar el commantext a utilizar una cadena de texto en un Recordset??
me explico
1.
strsql = "SELECT * FROM EMPLEADOS WHERE EMP_INT_IDEMPLEADO = " & Empleado
Rec.Open strsql,conn
2.
cmd.CommandText = "select * from clientes where codigocliente like ?"
cmd.CommandType=adCmdText
cmd.Parameters.Append cmd.CreateParameter(,adVarchar, adParamInput, 13, "%PEMSA%")
cmd.Prepared = True
set rs = Server.CreateObject("adodb.recordset")
set rs = cmd.Execute
Tengo entendido que con la segunda forma (la que proponeis aqui) te quitas de problemas con SQL Injection pero no estoy seguro de si es asi.
Un saludo. |