Password - hvad skal man passe på ?

det nævnte vil være nok

bare husk at gøre det samme ved username - og ALLE andre felter som folk kan indtaste i

ok - hvad er det lige man kan gøre hvis man ikke bruger / og hvordan gør man ? :
password = Trim(Replace(Request.Form("password"),"'",""))

enhver bruger kan ændre direkte i din SQL sætning hvis du ikke udelukker '... brugeren kan i værste fald slette din database.

ok tak, du får point i morgen..

hvis der ikke er andre der har skrevet noget mere man skal passe på... :-)

Det ville være en god ting at læse denne artikel her:
http://activedeveloper.dk/aspdigital/2003240401.asp

Artiklen i det link som du har sendt ovenfor er ikke skrevet færdig.

Jeg synes at det er vigtigt at nævne følgende ting:

* Husk altid at benytte både logins og passwords.

Enkelte systemer som jeg har arbejdet med starter med kun at benytte passwords. Det bliver hurtigt til noget rod, når flere brugere skal bruge systemet.

* Sørg for at *kun* lagre hashes af de passwords som du har i dit system.

Hvis du har brugernes passwords i plain text, åbner du op for en myriade af sikkerhedsproblemer.

* Prøv at undgå at lade brugerne sende deres passwords ubeskyttet over nettet.

Du kan benytte en challenge-response-metode a'la den i linket ovenfor eller SSL. Forfatteren af artiklen mener at begge dele er det bedste - det mener jeg ville være overkill i langt de fleste situationer.

Når du skriver om sjove tegn i forbindelse med folks indtastnign af passwords, så tyder det på at du har en web-applikation, hvor du er bange for at der bliver lavet et SQL-injection-angreb lige netop i forbindelse med password-indtastningen. Du skal vide at samme svaghed vil findes i *alle* andre dele af dit system og at man via en af disse dele sagtens kan hjente f. eks. din password-tabel ud.

Mao. hvis du virkelig mener det alvorligt, skal *al* kode som hælder noget brugerindtastet data videre ned til databasen checkes grundigt. Elelrs er det så godt som ligegyldigt.

Hvad er det nu man skriver for at teste om det fungerer? er det ikke noget med if '1' = '1'

eller sådan noget?