Tanweeruddin Beeharry Ответов: 1

Значение рейтинга не отображается.

как получить рейтинг ajax id из списка данных в коде позади asp.net.Значение рейтинга должно исходить из базы данных.

Что я уже пробовал:

&ЛТ;АСП:таблицы с ID="viewjobdetails" clientidmode="статический" атрибут runat="сервер" datakeynames="аргумент job_id"&ГТ;
<itemtemplate>
<ajaxtoolkit:rating id="Ratinghk" runat="server" behaviorid="RatingBehavior1"
="" currentrating="0" maxrating="5" starcssclass="ratingStar" waitingstarcssclass="savedRatingStar" filledstarcssclass="filledRatingStar" emptystarcssclass="emptyRatingStar" style="float: left;">
&ЛТ;АСП:метка идентификатор="lblRatingStatus" атрибут runat="сервер"и GT;



с фоновым кодом
если (!это.IsPostBack)
{
DataTable dt = это.GetData("SELECT ISNULL(AVG(Reviews), 0) AverageRating, COUNT(Reviews) RatingCount FROM tblHKHOReviews where HK_ID=" + Request.QueryString["ID"]);
Ratinghk.CurrentRating = Конвертировать.ToInt32(dt.Rows[0]["усреднение"]);
lblRatingStatus.Текстовая строка.Format("{0} пользователи оценили. Средний рейтинг {1}", dt.Rows[0]["RatingCount"], dt.Rows[0]["AverageRating"]);
}

1 Ответов

Рейтинг:
2

OriginalGriff

Не делай этого так! Никогда не объединяйте строки для построения команды SQL. Это оставляет вас широко открытыми для случайной или преднамеренной атаки SQL-инъекции, которая может уничтожить всю вашу базу данных. Вместо этого всегда используйте параметризованные запросы.

Когда вы объединяете строки, вы вызываете проблемы, потому что SQL получает такие команды, как:

SELECT * FROM MyTable WHERE StreetAddress = 'Baker's Wood'
Цитата, добавленная пользователем, завершает строку в том, что касается SQL, и вы получаете проблемы. Но могло быть и хуже. Если я приду и наберу вместо этого: "x';DROP TABLE MyTable;--", то SQL получит совсем другую команду:
SELECT * FROM MyTable WHERE StreetAddress = 'x';DROP TABLE MyTable;--'
Которые SQL видит как три отдельные команды:
SELECT * FROM MyTable WHERE StreetAddress = 'x';
Совершенно правильный выбор
DROP TABLE MyTable;
Вполне допустимая команда "удалить таблицу" 
--'
А все остальное-это комментарии.
Так оно и происходит: выбирает любые совпадающие строки, удаляет таблицу из базы данных и игнорирует все остальное.

Поэтому всегда используйте параметризованные запросы! Или будьте готовы часто восстанавливать свою БД из резервной копии. Вы ведь регулярно делаете резервные копии, не так ли?

А в веб-системе? Напрашивается на неприятности...