fejl ved ' samt hindre html input

Udskift med 2 '

function DBText(fText)
  DBText = replace(fText&"","'","''")
end function

strSQL = "UPDATE gb SET Name = '" & DBText(Request.Form("navn")) & "'...

yes det ser ud til at virke har bare smidt den DBText funktion på alle sammen.

Hva så med html problemet?

fx ved at benytte server.htmlencode;

Response.Write Server.HtmlEncode(DINVAR)

... Ellers skal du have fat i en HTML stripper, som fjerner alle HTML tags fra teksten. Der er et par stykker har på E, og jeg kan nok godt finde en til dig, hvis du fortrækker denne løsning i stedet for HTMLEncode...

Hvad er lettest?

Fandt denne stripper (har ikke afprøvet den)

Function ReplaceTest(tekst)
  Dim regEx
  Set regEx = New RegExp
  regEx.Pattern = "(<[^><]*>)"
  regEx.global = true
  regEx.IgnoreCase = True
  ReplaceTest = regEx.Replace(tekst, "")
End Function

Det er RegExp, så du skal ikke tage dig af, at det ser mærkelig ud :o)

Løsningerne er lige lette, så det kommer mere an på hvad du vil give brugerne tilladelse til. Er der f.eks nogle tags, der skal være tilladt (f.eks <a>)

Og så er jeg desuden af den mening, at man skal ændre så lidt som mulig på data, som brugeren skriver (HTMLEncode løsningen). Men man kan nemt komme til at glemme den på en udskrift, også kan ens system blive lagt ned.

Alt i alt kan jeg ikke anbefale den ene løsning frem for den anden, da de begge har fordele og ulemper.

nej brugeren skal ik ha mulighed for at skrive <i> <b> osv osv...

så prøver bare lige den der reg xp skal lige se om jeg kan få den til at virke

Microsoft VBScript runtime error '800a000d'

Type mismatch: 'regEx'

/post_process_form.asp, line 53


er hva jeg får? min kode hvor jeg bruger den ser således ud:

If blnCAPTCHAcodeCorrect Then
   
    Response.Write("Correctly")
   
Const adOpenKeyset = 1
Const adLockOptimistic = 3 

Function ReplaceTest(tekst)
  Dim regEx
  Set regEx = New RegExp
  regEx.Pattern = "(<[^><]*>)"
  regEx.global = true
  regEx.IgnoreCase = True
  ReplaceTest = regEx.Replace(tekst, "")
End Function

Set rs = Server.CreateObject("ADODB.RecordSet")
strSQL = "Select * From gb"
rs.Open strSQL, Conn, adOpenKeyset, adLockOptimistic
rs.AddNew

if Request.Form("Name") <> "" then
rs("Name") = regEx(Request.Form("Name"))
end if
if Request.Form("Email") <> "" then
rs("Email") = Request.Form("Email")
end if
if Request.Form("Homepage") <> "" then
rs("Homepage") = regEx(Request.Form("Homepage"))
else
rs("Homepage") = "X"
end if
if Request.Form("Entry") <> "" then
rs("Entry") = regEx(Request.Form("Entry"))
end if
rs("Date") = date()
rs("Kommentar") = "X"
rs("ip") = Request.ServerVariables("REMOTE_ADDR")
rs.Update
rs.Close
Set rs = Nothing
Conn.Close
set Conn = Nothing


Else

    Response.Write("Incorrectly")
End If

Kunne være et NULL problem. Ret den til dette:

ReplaceTest = regEx.Replace(tekst&"", "")

får stadig:

Microsoft VBScript runtime error '800a000d'

Type mismatch: 'regEx'

/post_process_form.asp, line 53

linie 53 er

rs("Name") = regEx(Request.Form("Name"))

Doh...
Du kalder ikke funktionen. Det skal være ReplaceTest i stedet for regEx:

rs("Name") = ReplaceTest(Request.Form("Name"))

tak det virker vist nu :D

DOH