經典的 ASP SQL 注入

我最近繼承了一個經典的 asp 網站，其中包含大量易受 SQL 注入攻擊的內聯 SQL 插入語句。

這些插入語句通過 ADO 命令對象執行。

將 ADO 命令對象的 Prepared 屬性設置為 true 是否會確保查詢在執行前被參數化，從而降低 SQL 注入的風險？

這個連結應該證明是有用的。

經典 ASP SQL 注入保護

不，如果您使用直接從“外部”獲得的值建構 SQL 字元串，那麼“準備好的語句”將無濟於事。

一個

sSQL = "SELECT * from mytable where mycolumn = '" + querystring("value") + "'"

還在自找麻煩。解決此問題的唯一方法是在查詢中使用參數。

引用自：https://stackoverflow.com/questions/1524101