classic asp中使用ADODB.Command防止sql injection

原始代码如下

Set Conn = Server.CreateObject("Adodb.Connection")
Conn.Open "Provider=Microsoft.Jet.Oledb.4.0;Data Source="&Server.MapPath("*****.mdb")
sql="select * from users where username='"&request.Form("username")&"' and password='"&request.Form("password")&"'"
rs.open sql,conn,1,1

这种拼接sql语句的做法不可取，有很大隐患，最常见的是在WHERE语句中添加恒等条件即可执行一些sql语句，进而获取大量信息，保险的方式是使用参数化的形式，大部分脚本语言例如PHP，js等都有类似处理，但由于传统的asp已经过时了，所以这方面资料较少，在查找和实践后，我将修改方式记录下来，避免大家绕远路。

……
set sql_cmd = Server.CreateObject("Adodb.Command")
sql_cmd.ActiveConnection = Conn

sql_cmd.CommandText = "select * from users where username=param1 and password=param2"

//ADO.CreateParameter(name,type,direction,size,value)
sql_cmd.Parameters.Append sql_cmd.CreateParameter("param1",202,1,20,request.Form("username"))
//sql_cmd.CreateParameter("param1",adVarWChar,adParamInput,20,request.Form("username")),使用这种方式会出错，参数不识别adVarWChar,不知道为什么
sql_cmd.Parameters.Append sql_cmd.CreateParameter("param2",202,1,20,request.Form("password"))

set rs = sql_cmd.Execute

参考：

1.使用 Command 对象调用示例存储过程

2.Filtering SQL injection from Classic ASP

3. ADODB.Command error '800a0bb9'