Dotaz: Mysql datetime - kontrolovat vstup při porovnánání ?

[sss]

ahoj. Mám napsanou jednoduchou aplikaci kde uživatel zadá datum a čas a mysql vrátí data větší než datum. Nijak neomezuju vstupní řetězec, protože jsem zjistil, že mysql je jedno jestli je vstup 2010-10-10 12:12:12 nebo třeba "dasd234dc". Dotaz vždy proběhne. Takové chování se mi líbí, ovšem neexistuje taková kombinace vstupních znaků které by způsobily selhání dotazu při porovávání se sloupcem datetime?

Odpovědi

[Jendа]

Když uživatel pošle jako vstup "; DROP TABLE `tabulka`; --, jak bude vypadat ten dotaz?

[sss]

Automaticky se to odescapuje, používám pdo prepared statements. Mě jde spíš o to, že za určitých okolností je výhodné mít možnost provádět dotazy typu "... where datum < 'nahodnyretezec'". Jestli takový dotaz dává smysl nebo ne to je v tu chvíli celkem jedno (stejně jako porovnánání řetezců s čísly apod.) - toto všechno mysql řeší alespoň v případech které jsem zkoušel. Proto se ptám jestli existuje nějaký případ kdy ten dotaz může selhat.

[rADOn]

Jestli si dobre vzpominam tak pri nejakym nastaveni serveru muze selhat neplatny datum, napr. 30. unor. Ale co to presne bylo uz ti nepovim, hledej v rtfm k datetime.

[rADOn]

ALLOW_INVALID_DATES

[Šangala]

No buď Vám to selže na každý neplatný datum nebo to vygeneruje (obvykle) jen warning a datum je nastaven na nulu respektive na 0000-00-00 - dle nastavení. Takže máte možnost si získat warningy (pomocí 'SHOW WARNINGS') a případně na to upozornit, pokud to nepovažujete z nějakého důvodu za chybu.
Jestli se nepletu ty warningy to generuje od nějaké verze 5.0.x - nevím přesně.

[kuka]

Mozna trochu OT, ale to, ze dotaz "vzdy probehne" nemusi byt uplne zadouci z hlediska vykonu. Prece jen pokud vim rovnou, ze to nic nevybere, nemusim napr. databazi vubec volat, natoz aby neco vyhodnocovala.

[sss]

Tak jsem koukal do konfigu zjišťoval jsem zda nemám zaplý nějaký sql_mode a ne a stejně to bere všechny datumy dokonce i když nastavím STRICT_ALL_TABLES tak to nevyhodí ani výjimku. Mám mysql 5.1. Je tohle chování v pořádku? Celkově bych totiž potřeboval zaručit, aby šlo všechno porovnávat se vším. Třeba INT s řetězcem, VARCHAR s číslem, BIT s čímkoliv apod. Ono to teda teď funguje, ale zase nevím jestli to bude fungovat u všeho a podle manuálu by to bez allow_invalid_dates nemělo fungovat na špatných datumech, ale funguje, tak já nevím. Celkově jde o to, že já mám nějakou tabulku u které předem neznám datové typy sloupců a uživatel může zadávat podmínky typu: kde sloupec1 < "libovolný uživatelem zadatelný řetězec". Kdybych měl porovnávat co uživatel smí zadat. upravovat formuláře podle datových typů v tabulce ... tak by to bylo dost kódu navíc, proto bych to chtěl vyřešit přímo v mysql.