Actionscript 3 Entwicklerhandbuch

ACTIONSCRIPT 3.0 ENTWICKLERHANDBUCH
Arbeiten mit lokalen SQL-Datenbanken in AIR
Verwenden unbenannter Parameter
Adobe AIR 1.0 und höher
Alternativ zu benannten Parametern können Sie auch unbenannte Parameter verwenden. Um einen unbenannten
Parameter zu verwenden, kennzeichnen Sie einen Parameter in einer SQL-Anweisung mit einem „?“ (Fragezeichen).
Jedem Parameter wird entsprechend der Reihenfolge der Parameter in der Anweisung ein numerischer Index
zugewiesen. Begonnen wird mit dem Index 0 für den ersten Parameter. Das folgende Beispiel ist eine Variante des
vorstehenden Beispiels. In dieser Version werden unbenannte Parameter verwendet:
var sql:String =
"INSERT INTO inventoryItems (name, productCode)" +
"VALUES (?, ?)";
var addItemStmt:SQLStatement = new SQLStatement();
addItemStmt.sqlConnection = conn;
addItemStmt.text = sql;
// set parameter values
addItemStmt.parameters[0] = "Item name";
addItemStmt.parameters[1] = "12345";
addItemStmt.execute();
Vorteile bei der Verwendung von Parametern
Adobe AIR 1.0 und höher
Die Verwendung von Parametern in einer SQL-Anweisung hat mehrere Vorteile:
Bessere Leistung Eine SQLStatement-Instanz, die Parameter enthält, ist effizienter im Vergleich mit einer Anweisung,
bei der der SQL-Text bei jeder Ausführung dynamisch erstellt wird. Die Leistung wird verbessert, da die Anweisung
nur ein einziges Mal vorbereitet werden muss und dann viele Male mit unterschiedlichen Parameterwerten ausgeführt
werden kann, ohne dass die SQL-Anweisung neu kompiliert werden muss.
Explizite Datentypisierung Parameter dienen zur typisierten Ersetzung von Werten, die bei der Konstruktion der
SQL-Anweisung unbekannt sind. Nur mithilfe von Parametern kann die Speicherklasse eines an die Datenbank
übergebenen Werts sichergestellt werden. Ohne Parameter versucht die Laufzeitumgebung, alle Werte auf der Basis
der Typenaffinität der zugewiesenen Spalte von ihrer Textrepräsentation in eine Speicherklasse zu konvertieren.
Weitere Informationen zu Speicherklassen und zur Spaltenaffinität finden Sie unter „Unterstützte Datentypen“ auf
Seite 1195.
Mehr Sicherheit Die Verwendung von Parametern trägt dazu bei, böswillige Angriffe zu vermeiden, die als SQL-
Injection (SQL-Einschleusung) bezeichnet werden. Bei einem SQL-Injection-Angriff gibt ein Benutzer einen SQL-
Code an einer für Benutzer zugänglichen Stelle ein (z. B. ein Dateneingabefeld). Wenn der Anwendungscode eine
SQL-Anweisung durch die direkte Verkettung der Benutzereingabe mit dem SQL-Text erstellt, wird der vom Benutzer
eingegebene SQL-Code an der Datenbank ausgeführt. Das folgende Beispiel zeigt die Verkettung der Benutzereingabe
mit dem SQL-Text. Verwenden Sie dieses Verfahren nicht:
Letzte Aktualisierung 27.6.2012
776