老是报这个错，急，高手帮忙

[dairy1]

在globe.asa中
Sub Application_OnStart
Application("str_conn") = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=D:\qb\qb.mdb;Persist Security Info=False"
end sub
'==================================================================================
Sub Application_OnEnd
end sub
'==================================================================================
Sub Session_Onstart

set session("conn")=Server.CreateObject("adodb.connection")
session("conn").Open Application("str_conn")

end sub

在WEB页中
Set rs = Server.CreateObject("ADODB.recordset")
sql = "select * from user where name='" &name& "' and password = '" & password & "'"
response.write sql
rs.open sql,session("conn")
'set rs= session("conn").execute(sql)

If Not rs.EOF = True Then
Session("name") = rs("name")
dim a
a=rs("level")
If Not a="管理员" Then
Response.Redirect("1.asp")
Else
Response.Redirect("admin.asp")
end if
else
Response.Redirect "Loginsb.asp?msg=您输入了错误的用户名或密码，请再次输入！"
End If
end if

总是报这个错

Microsoft VBScript 编译器错误 错误 '800a03f6'

缺少 'End'

/iisHelp/common/500-100.asp，行242

Microsoft JET Database Engine 错误 '80040e14'

FROM 子句语法错误。

/qb/Login.asp，行55
其中的一句select语句我都直接在ACCESS中做过，能查出数据，肯定没问题的，那错在哪呢

[wesheng]

兄弟，这种方法不可取，会被注入的。

[xutao888]

from [user]

[dairy1]

怎么写不被注入？

[xutao888]

sql = "select * from [user] where name='" &replace(name,''','')& "' and password = '" & replace(password,''','') & "'"