Hvordan undgår man at folk lade noget lort.

Yep du kan html.encode i ASP, kan du bruge det for så vil jeg gerne hurtigt lave noget :9

strip_tags();

ups asp

forkert kategori prøv ASP

<% Server.HTMLEncode(Request.Form(\"Din_Form\")) %>

Måske lave det til en var først

<%
strResults = Server.HTMLEncode(Request.Form(\"Din_Form\")) 
Response.Write strResults
%>

Cliche ---

Dette kode:

strSQL = \"update adresser set fornavn = \'\" & Request.Form(\"fornavn\") & \"\', \"
strSQL = strSQL + \"mellemnavn = \'\" & Request.Form(\"mellemnavn\") & \"\', \"
strSQL = strSQL + \"efternavn = \'\" & Request.Form(\"efternavn\") & \"\', \"
strSQL = strSQL + \"foedenavn = \'\" & Request.Form(\"foedenavn\") & \"\', \"
strSQL = strSQL + \"adresse = \'\" & Request.Form(\"adresse\") & \"\', \"
strSQL = strSQL + \"postnr = \'\" & Request.Form(\"postnr\") & \"\', \"
strSQL = strSQL + \"city = \'\" & Request.Form(\"city\") & \"\', \"
strSQL = strSQL + \"foedselsdato = \'\" & Request.Form(\"foedselsdato\") & \"\', \"
strSQL = strSQL + \"tlf = \'\" & Request.Form(\"tlf\") & \"\', \"
strSQL = strSQL + \"mobil = \'\" & Request.Form(\"mobil\") & \"\', \"
strSQL = strSQL + \"email = \'\" & Request.Form(\"email\") & \"\', \"
strSQL = strSQL + \"omperson = \'\" & Request.Form(\"omperson\") & \"\' \"
strSQL = strSQL + \" where id = \" & session(\"elevnummer\")

Burde laves om til noget der ligner dette:


strSQL = \"update adresser set fornavn = \'\" & strResults = Server.HTMLEncode(Request.Form(\"fornavn\")) Response.Write strResults & \"\', \"
strSQL = strSQL + \"mellemnavn = \'\" & Request.Form(\"mellemnavn\") & \"\', \"
strSQL = strSQL + \"efternavn = \'\" & Request.Form(\"efternavn\") & \"\', \"
strSQL = strSQL + \"foedenavn = \'\" & Request.Form(\"foedenavn\") & \"\', \"
strSQL = strSQL + \"adresse = \'\" & Request.Form(\"adresse\") & \"\', \"
strSQL = strSQL + \"postnr = \'\" & Request.Form(\"postnr\") & \"\', \"
strSQL = strSQL + \"city = \'\" & Request.Form(\"city\") & \"\', \"
strSQL = strSQL + \"foedselsdato = \'\" & Request.Form(\"foedselsdato\") & \"\', \"
strSQL = strSQL + \"tlf = \'\" & Request.Form(\"tlf\") & \"\', \"
strSQL = strSQL + \"mobil = \'\" & Request.Form(\"mobil\") & \"\', \"
strSQL = strSQL + \"email = \'\" & Request.Form(\"email\") & \"\', \"
strSQL = strSQL + \"omperson = \'\" & Request.Form(\"omperson\") & \"\' \"
strSQL = strSQL + \" where id = \" & session(\"elevnummer\")

Eller hvad?

Selvfølgelig skal koden sættes ind i alle linier.

Eller skal jeg først lave alle input om til variabler:

strFornavn = Server.HTMLEncode(Request.Form(\"fornavn\"))

Og så sætte dem ind i min SQL-Update:

strSQL = \"update adresser set fornavn = \'\" &  Response.Write strResults & \"\', \"

Well nope mere ala dette.

strSQL = \"update adresser set fornavn = \'\" & server.htmlencode(Request.Form(\"fornavn\")) & \"\', \"
strSQL = strSQL + \"mellemnavn = \'\" & server.htmlencode(Request.Form(\"mellemnavn\")) & \"\', \"
strSQL = strSQL + \"efternavn = \'\" & server.htmlencode(Request.Form(\"efternavn\")) & \"\', \"
strSQL = strSQL + \"foedenavn = \'\" & server.htmlencode(Request.Form(\"foedenavn\")) & \"\', \"
strSQL = strSQL + \"adresse = \'\" & server.htmlencode(Request.Form(\"adresse\")) & \"\', \"
strSQL = strSQL + \"postnr = \'\" & server.htmlencode(Request.Form(\"postnr\")) & \"\', \"
strSQL = strSQL + \"city = \'\" & server.htmlencode(Request.Form(\"city\")) & \"\', \"
strSQL = strSQL + \"foedselsdato = \'\" & server.htmlencode(Request.Form(\"foedselsdato\")) & \"\', \"
strSQL = strSQL + \"tlf = \'\" & server.htmlencode(Request.Form(\"tlf\")) & \"\', \"
strSQL = strSQL + \"mobil = \'\" & server.htmlencode(Request.Form(\"mobil\")) & \"\', \"
strSQL = strSQL + \"email = \'\" & server.htmlencode(Request.Form(\"email\")) & \"\', \"
strSQL = strSQL + \"omperson = \'\" & server.htmlencode(Request.Form(\"omperson\")) & \"\' \"
strSQL = strSQL + \" where id = \" & session(\"elevnummer\")

Du kan også bare lave din kode sådan her

For each item in request.form then
server.htmlencode

strSQL = \"update adresser set fornavn = \'\" & Request.Form(\"fornavn\") & \"\', \"
strSQL = strSQL + \"mellemnavn = \'\" & Request.Form(\"mellemnavn\") & \"\', \"
strSQL = strSQL + \"efternavn = \'\" & Request.Form(\"efternavn\") & \"\', \"
strSQL = strSQL + \"foedenavn = \'\" & Request.Form(\"foedenavn\") & \"\', \"
strSQL = strSQL + \"adresse = \'\" & Request.Form(\"adresse\") & \"\', \"
strSQL = strSQL + \"postnr = \'\" & Request.Form(\"postnr\") & \"\', \"
strSQL = strSQL + \"city = \'\" & Request.Form(\"city\") & \"\', \"
strSQL = strSQL + \"foedselsdato = \'\" & Request.Form(\"foedselsdato\") & \"\', \"
strSQL = strSQL + \"tlf = \'\" & Request.Form(\"tlf\") & \"\', \"
strSQL = strSQL + \"mobil = \'\" & Request.Form(\"mobil\") & \"\', \"
strSQL = strSQL + \"email = \'\" & Request.Form(\"email\") & \"\', \"
strSQL = strSQL + \"omperson = \'\" & Request.Form(\"omperson\") & \"\' \"
strSQL = strSQL + \" where id = \" & session(\"elevnummer\")

Er nu ikke sikker på denne ville virke

ellers kan du lave et javascript der kontrollerer indholdet at din form hos clienten INDEN den sendes til serveren, og således sikre at det der er indtastet i hvert felt overholder de krav du beslutter dig for at de skal

strSQL = \"Update adresser Set fornavn = \'\" & Request.Form(\"fornavn\") & \"\', \"

dim strMinvar(10)
  strMinvar(0) = mellemnavn
  strMinvar(1) = efternavn
  strMinvar(2) = foedenavn
  strMinvar(3) = adresse
  strMinvar(4) = postnr
  strMinvar(5) = city
  strMinvar(6) = foedselsdato
  strMinvar(7) = tlf
  strMinvar(8) = mobil
  strMinvar(9) = email
  strMinvar(10) = omperson

For Each Item In strMinvar

  strSql = strSql + \"strMinvar = \'\" & Server.HtmlEncode(Request.Form(\"strMinvar\") & \"\',\"

Next

strSQL = strSQL + \" Where Id = \" & Session(\"elevnummer\")