Sikkerhed på søgefunktion

det bør du bestemt. Du bøør lave indput validering, så man kun kan søge inden for ganske bestemte grændser. F.eks. kun på ord af en vis max længde, kun et ord af gangen, dvs ingen mellemrum. f.eks. ikke på tal og specialtegn, især bør du ikke tillade ' da dette kan bruges til at indsætte kode.

bufferzone >
Men allerede med Trim(Replace(Request.QueryString("soegeord"),"'","''")) har jeg da sikret mig mod koder med pling (') har jeg ikke?

Hmm... jeg har flettet det sammen med denne funktion:

Function ValidateString(strRE)
  Dim re
  Set re = new RegExp

  re.IgnoreCase = false
  re.global = false
  re.Pattern = "^[a-zA-Z]{1,30}$"

  ValidateString = re.Test(strRE)
End Function

if NOT(ValidateString(Request.QueryString("soegeord"))) then
response.redirect "links.asp"
Else

Dim ord
ord = Trim(Replace(Request.QueryString("soegeord"),"'","''"))

Det virker fint, men jeg vil gerne have at funktionen yderligere godtager mellemrum, punktum, spørgsmåltegn og katteøjne... er det muligt?

NB: også tal fra 1-9 forresten...

neander>det kan jeg ikke svare dig på, jeg er ikke programmeringshaj, jeg kender principperne og ved hvordan man injecte og ved hvad der skal valideres for, ikke hvordan. Derfor en kommentar og ikke et svar

apostrofferne definerer start og slut på din streng. Det betyder, at alle tegn mellem disse vil blive fortolket som en streng og ikke andet. Det uanset længe på ord og specielle tegn etc.

De eneste specieltegn er apostroffer i input, som du tager højde for.

Så hvis input kun kommer i form af strenge, har du sikret dig..

hamderpolle > Så er funktionen udenom altså ikke nødvendig i min søgefunktion?

nej, den er ikke nødvendig i forhold til sql injektion.

du har sikret dig med denne:

Request.QueryString("soegeord"),"'","''")

okay, så er det jo ikke så svært at sikre min søgefunktion som jeg troede.

læg et svar hamderpolle :o)

det er så i orden :)