有没有防sql注入的代码啊

[代码之城]

有没有防sql注入的代码啊，我的站是asp的， 请教啊

[-晴天]

曾经用过动网论坛上的代码,里面有相关的防注入函数.

[hookee]

用 ADO对象来操作数据库的话不需要防SQL注入过滤，用参数化查询取代SQL拼接就可以了。
------
非要拼接字符串的话 :
Access 的话可以 把字符字段的输入 Replace("xx","'", "''")
SQL Server 尽量用存储过程。拼接注入的方法太多了，必须用正则检查字段的类型大小和特征。

[lx66103567]

没这么复杂，就是判断的时候别直接拼接字符串，用parameter穿参数的形式就行了。。。、、、咯。。。

[Dogfish]

加强类型检测和控制。

[摇曳的风筝]

写一些对传参的ID的类型判断函数

Function replacestr(str)
   replacestr=replace(str,"'","")
   replacestr=replace(replacestr,"]","")
   replacestr=replace(replacestr,"[","")
   replacestr=replace(replacestr,";","")
   replacestr=replace(replacestr,":","")
   replacestr=replace(replacestr,"or","")
   replacestr=replace(replacestr,"and","")
   replacestr=replace(replacestr,"","")
End Function 
 


'*************************************************************
'判断是否为数字
'*************************************************************
Function ChkNum(Str)
  ChkNum=true
  if not IsNumeric(Str) then
   ChkNum=false
  end if
End Function

'*************************************************************

'*************************************************************
 Private sub checkREFERER()
  server1=Cstr(Request.ServerVariables("HTTP_REFERER"))
  server2=Cstr(Request.ServerVariables("SERVER_NAME"))
  if  mid(server1,8,len(server2))<>server2  then
   response.Write("请不要从外部提交数据!更多问题请联系管理员")
   response.End()
  end if
 end sub




'*************************************************************
'防止SQL注入攻击,检测request("xxxx"后面的参考是否为数字型 主要用于检测id)
'*************************************************************
Function Chkrequest(Para)
      If Not (IsNull(Para) Or Trim(Para)="" Or Not IsNumeric(Para)) Then
         Chkrequest=int(Para)
      Else
		  response.Write("服务器处理URL时出错，请联系管理员")
		  response.End()
	  End If
End Function

[代码之城]

[Quote=引用 5 楼 lp0219 的回复:]
写一些对传参的ID的类型判断函数

VB code

Function replacestr(str)
replacestr=replace(str,"'","")
replacestr=replace(replacestr,"]","")
replacestr=replace(replacestr,"[","")
replacestr=replace(re……
[/Quote]

这些代码写到哪里啊