窗體 - 需要允許爲撇號

Question

我有一個用傳統的ASP編寫的表單，有一些輕客戶端驗證。除了一件事以外，一切都很好 - 當有撇號時，表單失敗。其中一個字段可能經常有撇號（例如，如果用戶的姓氏是O'Brien，則姓氏字段將失敗）。

我該如何解決這個問題？

Answer 1

您必須檢查您的ASP代碼。如果你看到任何代碼看起來像

string SQL = 
    "SELECT user_id, first_name,last_name FROM users WHERE username = " 
    + myUserName; 

其中myUserName來自用戶，那麼你肯定是脆弱的。

未修復該試圖逃跑的輸入（即，全部替換「'」和‘‘’’），但使用這篇文章中概述了SQL Injection and how to avoid it

一言以蔽之一個完全不同的方法，請從bobby-tables網站嘗試類似以下內容

String username = "joe.bloggs"; 
SqlCommand sqlQuery = new SqlCommand(
"SELECT user_id, first_name,last_name FROM users WHERE username = ?username", 
    sqlConnection); 
sqlQuery.Parameters.AddWithValue("?username", username);