带参数的 SELECT 语句 ASP Classic [Duplicate]-解网

问：

上个月关闭。

我正在使用带有 SQL Server 的 ASP Classic，我想更改我的 SQL 语句以防止注入我的 SQL 语句

这是我的SQL语句，运行正常

%><!--#include file="Config.asp" --><%'  %><!--#include file="Md5.asp"--><%' %>                
<%
                  Dim Encodervalue                                      
                  Dim EncoderResult                                        
                  EncoderValue=Trim(Name)&"_"&Trim(password)
                  EncoderResult=Trim(Name)&"_"&Trim(password)    
                  EncoderResult = Md5(EncoderValue)                       
                  SelectSql="Select * From Users Where User_key='"&EncoderResult&"'"      
              set Rs=ADO.execute (SelectSql)

SQL VBScript ASP-经典

您似乎在“name”和“password”上使用 MD5 哈希函数。这应该足以处理该特定查询中 Request 变量中的任何注入代码，但一般来说@user692942是正确的。参数化查询是要走的路。但是，如果您担心安全性，我建议您使用比 MD5 更现代、更强大的算法来加密您的登录详细信息。

答：

-1赞 Nandalal Seth 9/25/2023 #1

如果您的 EncoderResult 不会超过 128 个字符，那么您可以使用 sqlservr 内置函数 QUOTENAME，如下所示？它将通过转义输入中的任何引号来生成有效的 SQL Server 字符串。

参考： https://learn.microsoft.com/en-us/sql/t-sql/functions/quotename-transact-sql?view=sql-server-ver16&redirectedfrom=MSDN

SelectSql="Select * From Users Where User_key=QUOTENAME("&EncoderResult&",'''')"

带参数的 SELECT 语句 ASP Classic [Duplicate]

select statment asp classic with parameter [duplicate]

评论

评论