ASP - Beskyt mod SQL Injektion - ADO Parameterized

strPartnername = Replace(Request.Form("txtUserID"),"'","''")
strPassword = Replace(Request.Form("txtPassword"),"'","''")

Det jeg leder efter er noget ala følgende (ADO parameterized SQL where parameters are replaced with static placeholders)

Det eneste jeg har kunnet finde er noget Dreamweavver koder fra Adobe - det kunne jeg ikke få til at spille
Recordset1_cmd = Server.CreateObject ("ADODB.Command");
Recordset1_cmd.ActiveConnection = MM_connMusic_STRING;
Recordset1_cmd.CommandText = "SELECT * FROM albums WHERE ID = ?";
Recordset1_cmd.Prepared = true;
Recordset1_cmd.Parameters.Append(Recordset1_cmd.CreateParameter("param1", 5, 1, -1, Recordset1__MMColParam)); // adDouble
var Recordset1 = Recordset1_cmd.Execute();


Replace ' med '' er den 100% sikker

Jeg ville da under alle omstændigheder (rundt regnet) altid vælge Command-objektet over en sammensat SQL-streng, så det kode du selv viser bør du fortsætte med at benytte.

Det skal efter min mening være nogle helt simple SQL-sætninger (uden parametre), for at en streng-version og connection.Execute kan retfærdiggøres (min personlige holdning til emnet i det mindste :)).