Question

我试图使用Parameters保护我的INSERT语句不受SQL注入的影响，但出于某种原因我收到了错误：Parameter object is improperly defined. Inconsistent or incomplete information was provided...

虽然，我不知道是什么导致它。

我的SQL语句如下：

Set spSQL = Server.CreateObject("ADODB.Command")
                Set spSQL.ActiveConnection=con_vhs

                vrdSQL="INSERT INTO boekingen ([Order],[Positie],[Tariefnummer],[Relatie],[Datum],[AantalEenheden],[Omschrijving],[Bedrag],[Totaal],[Status]) VALUES (@Order,@Pos,@Tar,@Rel,@Datum,@Aantal,@Omsch,@Bedrag,@Totaal,@Status)"
                spSQL.commandtext= vrdSQL

                spSQL.Parameters.Append(spSQL.CreateParameter("@Order", adInteger,,,1506))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Pos", adVarWChar,,10,"0"))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Tar", adVarWChar,,50,"VRD"))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Rel", adInteger,,,4020))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Datum", adDate,,,iDatumTotaal))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Aantal", adSingle,,,"5,25"))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Omsch", adVarWChar,,150,OmschrijvingGoed))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Bedrag", adDecimal,,,sBedrag))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Totaal", adDecimal,,,sTotaal))
                spSQL.Parameters.Append(spSQL.CreateParameter("@Status", adInteger,,,StatusVRD))


                Dim oPrm

                For Each oPrm In spSQL.Parameters
                    If oPrm.Type = adDecimal Then
                        oPrm.NumericScale = 2
                        oPrm.Precision = 17
                    End If
                Next



                set rst= spSQL.execute(vrdSQL)

某些参数值设置为硬编码（仅用于测试目的），有些参数值使用变量设置。我在第一个追加参数行上已经收到了错误..我做错了什么？

其他一些信息：

我将数据插入SQL 2012 Server。
SQL Server中的类型如下：

@Order = int
        @Pos = nvarchar（10）
        @Tar = nvarchar（50）
        @Rel = int
        @Datum = datetime2（0）
        @Aantal =真实的         @Omsch = nvarchar（150）
        @Bedrag = money（很快就会改为十进制（17,2）         @Totaal = money（很快将改为十进制（17,2））
        @Status = int

更新2

Set spSQL = Server.CreateObject("ADODB.Command")
            Set spSQL.ActiveConnection=con_vhs

            spSQLCommandType = adCmdText

            vrdSQL="INSERT INTO boekingen ([Order],[Positie],[Tariefnummer],[Relatie],[Datum],[AantalEenheden],[Omschrijving],[Bedrag],[Totaal],[Status]) VALUES (?,?,?,?,?,?,?,?,?,?)"
            spSQL.commandtext= vrdSQL

            spSQL.Parameters.Append spSQL.CreateParameter("@Order", adInteger,adParamInput,4)
            spSQL.Parameters.Append spSQL.CreateParameter("@Positie", adVarWChar,adParamInput,10)
            spSQL.Parameters.Append spSQL.CreateParameter("@Tariefnummer", adVarWChar,adParamInput,50)
            spSQL.Parameters.Append spSQL.CreateParameter("@Relatie", adInteger,adParamInput,4)
            spSQL.Parameters.Append spSQL.CreateParameter("@Datum", adDate,adParamInput,0)
            spSQL.Parameters.Append spSQL.CreateParameter("@AantalEenheden", adSingle,adParamInput,4)
            spSQL.Parameters.Append spSQL.CreateParameter("@Omschrijving", adVarWChar,adParamInput,150)
            spSQL.Parameters.Append spSQL.CreateParameter("@Bedrag", adDecimal,adParamInput,0)
            spSQL.Parameters.Append spSQL.CreateParameter("@Totaal", adDecimal,adParamInput,0)
            spSQL.Parameters.Append spSQL.CreateParameter("@Status", adInteger,adParamInput,4)

            spSQL.Parameters("@Order").Value = 1506
            spSQL.Parameters("@Positie").Value = "0"
            spSQL.Parameters("@Tariefnummer").Value = "VRD"
            spSQL.Parameters("@Relatie").Value = 4020
            spSQL.Parameters("@Datum").Value = iDatumTotaal
            spSQL.Parameters("@AantalEenheden").Value = TestAantal
            spSQL.Parameters("@Omschrijving").Value = OmschrijvingGoed
            spSQL.Parameters("@Bedrag").Value = sBedrag
            spSQL.Parameters("@Totaal").Value = sTotaal
            spSQL.Parameters("@Status").Value = StatusVRD

            Dim oPrm

            For Each oPrm In spSQL.Parameters
                If oPrm.Type = adDecimal Then
                    oPrm.NumericScale = 2
                    oPrm.Precision = 17
                End If
            Next



            set rst= spSQL.execute(vrdSQL)

更新2，删除了.append周围的括号，并在参数中添加了正确的大小值。仍然得到错误：

Arguments are of the wrong type, are out of acceptable range, or are in conflict with one another.. . ON spSQL.Parameters.Append spSQL.CreateParameter("@Order", adInteger,adParamInput,4)

更新3

此更新是在我的global.asa文件中插入元标记之后。

我使用以下内容更新了我的global.asa文件：

  <!-- METADATA 
        TYPE="typelib" 
        UUID="00000200-0000-0010-8000-00AA006D2EA4"
-->

global.asa文件现在看起来如下：

<script language="VBScript" runat="Server">
Sub Session_OnStart
 <!-- METADATA 
        TYPE="typelib" 
        UUID="00000200-0000-0010-8000-00AA006D2EA4"
-->



 Session.Timeout = 480

End Sub
</SCRIPT>

参数的代码保持不变。现在我（幸运的是）在执行中得到了一个不同的错误：

[Microsoft][ODBC SQL Server Driver]Optional feature not implemented. . ON设置rst= spSQL.execute(vrdSQL)

Answer 1

好的，经过与Lankymart的讨论，在聊天中继续进行，我终于解决了问题。

由于仅通过一次调整就无法解决错误，因此发布了所有调整。

首先，我删除了spSQL.Parameters.Append(spSQL.CreateParameter("@Order", adInteger,,,1506))
其次，我用问号替换了我的SQL字符串中的@vars。
然后我单独添加了参数值，并添加了spSQLCommandType = adCmdText（在此链接中指出：stackoverflow.com/a/22037613/692942）
我还将所有参数数据类型的SIZES更改为正确的大小（使用此链接：Data type mapping）而不是默认值或0.
然而，最大的问题是由于不包含用于处理我的ADO参数的正确DDL文件。这已添加到global.asa文件中。 
一些较小的问题仍然存在，其中一个是执行错误，改为：Call spSQL.execute(adExecuteNoRecords)
最后一个问题是由于我的SQL Server 2012无法识别或可行adDate而造成的。我将ADO类型adDate更改为adDBTimeStamp以解决问题。

整个“固定”代码如下：

Set spSQL = Server.CreateObject("ADODB.Command")
                Set spSQL.ActiveConnection=con_vhs

                spSQL.CommandType = adCmdText

                vrdSQL="INSERT INTO boekingen ([Order],[Positie],[Tariefnummer],[Relatie],[Datum],[AantalEenheden],[Omschrijving],[Bedrag],[Totaal],[Status]) VALUES (?,?,?,?,?,?,?,?,?,?)"
                spSQL.commandtext= vrdSQL

                spSQL.Parameters.Append spSQL.CreateParameter("@Order",adInteger,adParamInput,4)
                spSQL.Parameters.Append spSQL.CreateParameter("@Positie", adVarWChar,adParamInput,10)
                spSQL.Parameters.Append spSQL.CreateParameter("@Tariefnummer", adVarWChar,adParamInput,50)
                spSQL.Parameters.Append spSQL.CreateParameter("@Relatie", adInteger,adParamInput,4)
                spSQL.Parameters.Append spSQL.CreateParameter("@Datum", adDBTimeStamp,adParamInput,0)
                spSQL.Parameters.Append spSQL.CreateParameter("@AantalEenheden", adSingle,adParamInput,4)
                spSQL.Parameters.Append spSQL.CreateParameter("@Omschrijving", adVarWChar,adParamInput,150)
                spSQL.Parameters.Append spSQL.CreateParameter("@Bedrag", adDecimal,adParamInput,0)
                spSQL.Parameters.Append spSQL.CreateParameter("@Totaal", adDecimal,adParamInput,0)
                spSQL.Parameters.Append spSQL.CreateParameter("@Status", adInteger,adParamInput,4)

                spSQL.Parameters("@Order").Value = 1506
                spSQL.Parameters("@Positie").Value = "0"
                spSQL.Parameters("@Tariefnummer").Value = "VRD"
                spSQL.Parameters("@Relatie").Value = 4020
                spSQL.Parameters("@Datum").Value = iDatumTotaal
                spSQL.Parameters("@AantalEenheden").Value = TestAantal
                spSQL.Parameters("@Omschrijving").Value = OmschrijvingGoed
                spSQL.Parameters("@Bedrag").Value = sBedrag
                spSQL.Parameters("@Totaal").Value = sTotaal
                spSQL.Parameters("@Status").Value = StatusVRD

                Dim oPrm

                For Each oPrm In spSQL.Parameters
                    If oPrm.Type = adDecimal Then
                        oPrm.NumericScale = 2
                        oPrm.Precision = 17
                    End If
                Next


                Call spSQL.execute(adExecuteNoRecords)

感谢Lankymart为解决这个问题提供了极好的帮助！

在ASP CLASSIC中使用SQL参数，对象未正确定义错误

1 个答案: