Fragwürdiger Schutz einer SQL-Abfrage?

[dedlfix]

Tach!

Soll beispielsweise bei folgender Abfrage eine Sortierung vorgenommen werden...

SELECT * FROM users

... bediene ich mich einer Liste von erlaubten Spalten und Sortierreihenfolgen, gegen die geprüft wird und aus denen anshcließend der Teil hinter dem ORDER BY zusammengebaut wird.

Alternativ kann man auch nach der Position in der SELECT-Klausel sortieren. Dann wird über den Client lediglich eine Zahl geschleift und nicht ein Spaltenname oder ein Alias.

dedlfix.