undgå injections?

bare du bruger parameters er du såmænd beskyttet mod SQL injection

hvis du bruger stored procedure er du nødt til at bruge parameters

men det omvendte er ikke tilfældet

Til inspiration:

<%
adParamInput = 1
adVarChar = 200
Set con = Server.CreateObject("ADODB.Connection")
con.Open "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=C:\Databases\MSAccess\Test.mdb;;"
Set cmd = Server.CreateObject("ADODB.Command")
cmd.ActiveConnection = con
cmd.CommandText = "SELECT COUNT(*) AS n FROM myusers WHERE un = @un AND pw = @pw"
cmd.Parameters.Append(cmd.CreateParameter("@un", adVarChar, adParamInput, 32))
cmd.Parameters.Append(cmd.CreateParameter("@pw", adVarChar, adParamInput, 32))
cmd.Parameters("@un") = "arne"
cmd.Parameters("@pw") = "duerikke"
Set rs = cmd.Execute
Response.Write rs("n")
Set rs = Nothing
Set cmd = Nothing
Set con = Nothing
%>

ellers er det input validering du skal ud i, men Arnes metoder er sikkert lettere at implementerer

Hvad er fordelen ved parameter mod replace(tekst,"'","''") metoden??

fennec>

fordi det er driveren som gør det så skal man ikke bekymre sig om hvorvidt
man nu skal gøre noget med dobbelt quotes, backslashes eller andet - man kan
regne med at driveren gør alt det nødvendige

den er også god til at håndtere forskellige dato formater

og et svar fra mig