Errore causato da apici

[TeoB]

Salve a tutti, sto imparando qualche cosa di base e per ora mi sono soffermato sulle form che prendono informazioni da un'utente e le passano ad un database.

Ho due pagine ASP, la prima è quella con i form, passa gli input alla seconda la quale li inserisce nel DB. Lo so, è un po' macchinoso, ma si fa per gradi.

Se inserisco nella prima pagina (http://www.matteobinda.com/ProvaASP/Form.asp) delle parole con l'apostrofo mi dà un errore di sintassi a causa dell'apostrofo. Come risolvo?

Ecco la riga incriminata:

strsql = "INSERT INTO fotoinfo ( name, category, comments ) Values ( " & name & ", " & category & ", " & comments & ");"

PS: scusate ancora se ho uppato un 3d vecchio di un anno...

[longline]

Raddoppiando gli apici con la funzione Replace:

strStringaPulita = Replace(strStringaDaPulire, "'", "''")

[TeoB]

Grazie mille, ci ho messo un po' a capire dove andava ficcato, ed ora ho fatto cosí (visto che gli apici li trovo solo nei commenti):

<%
Dim name, category, comments
name = Request.Form("name")
category =  Request.Form("category")
comments=  Request.Form("comments")
comment = replace(comments, "'", "''")
Response.Write "File name:  " & name & "
" 
Response.Write "Category: " & category & "
"
Response.Write "Comments: " & comment & "
"
dbConn = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath("/mdb-database/fotodata.mdb")
strsql = "INSERT INTO fotoinfo ( name, category, comments ) Values ( '" & name & "', '" & category & "', '" & comment & "');"
Set objConn = Server.CreateObject("ADODB.Connection")
objConn.Open dbConn
objConn.Execute strsql 
Response.Write strsql
objConn.Close 
set objConn = Nothing
%>

In pratica devo applicare l'isftruzione per ogni oggetto (sono oggetti?) del Request.Form. Non esiste un modo per fare tutto in un'unica volta facendo un replace analogo ma applicato ai valori dell'oggetto strsql?

[optime]

no, va fatto per campo, perché la stringa sql contiene (o potrebbe contenere) apici - che non vanno ovviamente toccati

[TeoB]

Grazie mille

[longline]

Si può fare con un artificio, anche se non c'è la sicurezza al 100%...

Non usare gi apici per l'SQL, ma un "tag" che ti inventi tu e che sei sicuro che non verrà messo nel form. Ad esempio {@#

strsql = "INSERT INTO fotoinfo ( name, category, comments ) Values ( {@#" & name & "{@#, {@#" & category & "{@#, {@#" & comment & "{@#);"

strSql = Replace(strSql, "'", "''")
strSql = Replace(strSql "{@#", "'")

[Alethesnake]

Originariamente inviato da longline
Si può fare con un artificio, anche se non c'è la sicurezza al 100%...

Non usare gi apici per l'SQL, ma un "tag" che ti inventi tu e che sei sicuro che non verrà messo nel form. Ad esempio {@#

strsql = "INSERT INTO fotoinfo ( name, category, comments ) Values ( {@#" & name & "{@#, {@#" & category & "{@#, {@#" & comment & "{@#);"

strSql = Replace(strSql, "'", "''")
strSql = Replace(strSql "{@#", "'")

scusa ma la domanda sorge spontanea: perché?

[longline]

Originariamente inviato da Alethesnake
scusa ma la domanda sorge spontanea: perché?

Per rispondere a questa domanda

Originariamente inviato da TeoB
Non esiste un modo per fare tutto in un'unica volta facendo un replace analogo ma applicato ai valori dell'oggetto strsql?