SQL过滤

[xsunx]

有如下代码方案。
Function SQLEncode(ByVal fString) 'SQL过滤
If Not isnull(fString) Then
fString = Replace(fString, "'","''")
fString = Replace(fString, ";","")
fString = Replace(fString,Chr(34), "''")
SQLEncode = fString
End If
End Function

但我觉得不够好，这样的话。
;就不能输入了。因为会被过滤。
在SQL中究竟那些字符需要过滤。
那些字符有特殊的符号代替输入如：''代表'
insert into [test]([fields1]) values ('a''a')实际上插入的内容为a'a

[itera]

Public Function CheckStrg(Str) '适用字符型 功能是过滤掉'
If Isnull(Str) Then
CheckStrg = ""
Exit Function
End If
CheckStrg = Replace(Str,"'","''")
End Function
Public Function CheckNum(NumPara) '适用数值型参数
If NumPara="" or not isNumeric(NumPara) then
Response.write "参数必须为数字型！"
Response.end
End if
CheckNum=NumPara
End Function

[xsunx]

我主要想要，，，防止SQL注入攻击 .
我主要想要，，，防止SQL注入攻击 .

我主要想要，，，防止SQL注入攻击 .

我主要想要，，，防止SQL注入攻击 .

[xsunx]

日期的合法性检测应该怎么写？？？？

[世界因你而小]

学习

[lemon_lyk]

http://www.gzicp.com/tech/db/sql/1094333842760.shtml

[lemon_lyk]

http://www.gzicp.com/tech/db/sql/1094333842760.shtml

[qfacy]

过滤不好真的很容易有漏洞！

[xsunx]

怎么没有高手发言！！

[alern_zyb]

Function SafeRequest(ParaName,ParaType)
　　 '--- 传入参数 ---
　　 'ParaName:参数名称-字符型
　　 'ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符)　

　　 Dim ParaValue
　　 ParaValue=Request(ParaName)
　　 If ParaType=1 then
　　 If not isNumeric(ParaValue) then
　　 Response.write "参数" & ParaName & "必须为数字型！"
　　 Response.end
　　 End if
　　 Else
　　 ParaValue=replace(ParaValue,"'","''")
　　 End if
　　 SafeRequest=ParaValue
　　End function

[xsunx]

现在的关键问题是如果我要输入这些
　　 net user
　　 xp_cmdshell
　　 /add
　　 exec master.dbo.xp_cmdshell
　　 net localgroup administrators
　　 select
　　 count
　　 Asc
　　 char
　　 mid
　　 '
　　 :
　　 "
　　 insert
　　 delete from
　　 drop table
　　 update
　　 truncate
　　 from
字符又怎么处理呢
就如同：''代表'可以解决'的输入
其它的怎么解决呢！