背景:
我正在 Avaya CMS Supervisor 中撰写报告。现在,如果您不知道那是什么,那并不重要,因为问题是关于 SQL 的。但是,如果您确实知道它,那么它肯定会有所帮助。
在这个程序中,您可以创建从数据库中提取数据的报告(然后显示给用户)。事情是;要创建这些报告,您必须使用(荒谬的)可视点击选择项目形式的查询构建器。但是,您可以做的是定义要选择的每个项目(在 -SELECT
子句中)和 - 子句中的每个项目WHERE
。
现在,我的问题是访问用户输入的唯一方法是在WHERE
.
问题:
是否有可能通过任何黑客或其他方式从 中修改WHERE
中显示的值SELECT
?
如果简单的 SQL 查询有(变量)变量,这或多或少是有效的:
SELECT drv-tbl.$A
FROM drv-tbl
WHERE
$b = (SELECT value AS $A FROM table) AS drv-tbl