Parameter Manipulationsprävention durch parametrisierte Abfragen

Question

Ist es möglich Parameterverfälschung durch parametrisierte Abfragen im klassischen ASP zu verhindern? Wenn es nicht der richtige Weg ist, es zu verhindern?

Vielen Dank.

Answer 1

Unter der Annahme, dass Sie ADODB verwenden, um Ihre SQL-Abfragen machen könnten Sie sie wie so parametrisieren:

<% 
    Set conn = Server.CreateObject("ADODB.Connection") 
    conn.Open "some connection string" 

    set cmd = Server.CreateObject("ADODB.Command") 
    cmd.ActiveConnection = conn 
    cmd.CommandText = "SELECT * FROM some_table WHERE id = ?" 
    cmd.CommandType = adCmdText 
    cmd.Parameters.Append cmd.CreateParameter("@id", adInteger, adParamInput, request("id")) 

    set rs = cmd.Execute 
    ... 
%> 

In diesem Beispiel ist die id Parameter in der Abfrage parametrisiert werden, wie es aus Benutzereingaben kommen (request("id")) .