les balises serveur ne peuvent pas contenir <% ... %>????

Bonjour,

Je souhaite passer dans une balise <asp:SqldataSource... les paramètres request.queryString("recherche").
J'ai le message d'erreur suivant:
Server tags cannot contain <% ... %> constructs

Mon code est le suivant:
       <asp:SqlDataSource ID="ParentSqlDataSource" runat="server"
        ConnectionString="Provider=SQLOLEDB;Server=FRWEB01;Initial Catalog=intranet;uid=crawford;pwd=crawford"
        ProviderName="System.Data.OleDb" SelectCommand="SELECT * FROM Annuaire WHERE <%=Request.QueryString("type")%> LIKE '%<%=Request.QueryString("recherche")%>%' ORDER By Nom, Prénom">

Pourriez vous m'aider?
Cordialement

Salut,

Non tu ne peux pas faire comme ça.
Il faut que tu modifies dans le code behind dans le Load de ta page omme ceci :
ParentSqlDataSource.SelectCommand = "SELECT * FROM Annuaire WHERE " & Request.QueryString("type") & " LIKE '%" & Request.QueryString("recherche") & "%' ORDER By Nom, Prénom"

Mais je te déconseille TRES fortement de récupérer un paramètre d'url et de l'envoyer en pature comme ceci dans ta ligne de commande. Tu ouvres une porte énorme au SQL Injection et met en péril ta base de données

A++

Nix

[MVP VB, VB .NET ASP .NET] - Le blog de Nix

Merci Nix de ta réponse et ta rapidité!

Ca focntionne ainsi
Quel conseil peux tu me donner pour contourner ce problème de securité?
Merci

Et bien si c'est un SQL Server je te conseil de faire des procédures stockées et de les utiliser plutôt que d'envoyer la requête "manuellement". Le risque ici, c'est par exemple que quelqu'un mette un ' dans ton paramètre et ajoute un DROP DATABASE; derrière par exemple (c'est la version courte) mais on peut faire bien pire.

Pour contrer ça tu peux faire une "bidouille" vite fait qui consiste à doubler les ' tu fais un function qui fait un simple replace de "'" par "''" comme ça t'es sur que si un ' est enoyé dans tes params il sera doublé et ensuite tu construit come ceci :
ParentSqlDataSource.SelectCommand = "SELECT * FROM Annuaire WHERE " & TaFunction(Request.QueryString("type")) & " LIKE '%" & TaFunction(Request.QueryString("recherche")) & "%' ORDER By Nom, Prénom"

Ca sera déjà plus sécure même si c'est pas très élégant.

A++

Nix

[MVP VB, VB .NET ASP .NET] - Le blog de Nix

Bonjour Nix

Merci de ta réponse.
Je vais regarder pour utiliser les procedures stockées.
Ca sera plus propre ainsi :)
Merci encore