asp防止表单注入代码(数据库api防止注入攻击)
1、防止aspsql注入的方法有很多，需要严格的字符串过滤在传递URL参数和提交表单时，必须对提交的内容进行字符串过滤，网站中使用的那些第三方插件必须是安全的，只有在没有漏洞的情况下才能使用，比如上传组件和使用的在线编辑器上传文件时必须对文件进行严格的检测，这种只判断文件后缀的操作方法是不正确的。
2、给你个通用的sql防注入代码 关键是过滤 #39 和括号 Dim Fy_Post，Fy_Get，Fy_cook，Fy_In，Fy_Inf，Fy_Xh，Fy_db，Fy_dbstr，aa On Error Resume Next Fy_In = quot#39execinsertselectdeleteupdatecountchrtruncatechardeclarescript*charsetquotaa=quotheiketxtquot #39如。
3、把=和or号替换成空就可以了，把 Requestquotreg_nickquot 改成 replaceRequestquotreg_nickquot，quot=quot，quotquot 当然SQL注入问题远不止这麼简单，多去网上查查什麼叫SQL注入，像%，AND，OR，及一些SQL关键字都要过滤掉 要不你试试把语句改成这样试试，这样那些注入字符应该就会报错无效了 sql=quot。
4、如果是字符串，那么你要过滤掉sql里面敏感的字符，比如单引号，双引号之类2过滤sql文 你写的是 select from username where type= quot type 要使用户type 为 quot1 or type=adminquot，你猜猜是什么结果 防止注入概括起来其实就是 1 类型检查 2 变量范围检查 3 特殊字符过滤 4 sql关键字过滤。
5、在每个SQL语句那写SQL过滤还有用SQL数据库加上补丁，把16位的密码转成32位把网站上所有写入权限都关了。
6、lt！post防止注入 lt dim sql_injdata SQL_injdata = quot#39andexecinsertselectdeleteupdatecount*%chrmidmastertruncatechardeclarequotIf RequestFormltquotquot Then For Each Sql_Post In RequestForm For SQL_Data=0 To UboundSQL_injif instrRequestFormSql_Post。
7、注入攻击能得逞是因为在原有SQL语句中加入了新的逻辑，如果使用PreparedStatement来代替Statement来执行SQL语句，其后只是输入参数，SQL注入攻击手段将无效，这是因为PreparedStatement不允许在不同的插入时间改变查询的逻辑结构，大部分的SQL注入已经挡住了，在WEB层我们可以过滤用户的输入来防止SQL注入比如用Filter来过滤全局的表单。
8、return falseelse ifpassword==quotquot alertquot密码还没写quotreturn false 第二种 ASP检验法 你可以把你的代码改成如下格式 username=requestquotusernamequotpwd=requestquotpwdquotif instrusername，quot#39quotlt0 or instr。
9、lt function HTMLEncode2fStringfString = ReplacefString， CHR13， #39#39#39fString = ReplacefString， CHR10 CHR10， #39#39ltPltP#39#39fString = ReplacefString， CHR10， #39#39ltBR#39#39HTMLEncode2 = fString end function #39二次判断，防止屏蔽JS后提交数据 sex=trimrequestform。
10、在你接收url参数的时候 过滤特殊字符就可以了 veryeasy~~给你一个函数 #39___#39函数名SetRequest #39作 用防止SQL注入 #39ParaName参数名称字符型 #39ParaType参数类型数字型1表示是数字，0表示为字符#39RequestType请求方式0直接请求，1Request请求，2post请求，3get请求，4Cookies请求，5。
11、首先确定程序是不是自己写的 如果是自己写的做到以下几点 1有通过URL或者表单获取的数据全部做安全检查，如文章根据ID显示的，搜索等，获取的是数字类型就INT或者CLNG下，强制为数字，不是数值去网络上找防注入函数 2将数据库修改为复杂名称，写的自己都不记得最好 3查看上传图片的页面是不是不。
12、id = cintrequestquerystringquotidquot同理，凡是数字型的，一律进行判断是否数字或强制转换如果是字符型的，要写入SQL语句的，一律对单引号进行转义，如 SQLserver和Access中，替换成两个单引号MYSQL中替换成 \#39 等可以写成一个固定的函数来代替request，可以达到防止注入的目的网上也有一些通用。
13、lt 部份代码Function HTMLEncodefStringfString=replacefString，quotquot，quot#59quotfString=replacefString，quotltquot，quotltquotfString=replacefString，quotquot，quotquotfString=replacefString，quot\quot，quot\quotfString=replacefString，quotquot，quot#45#45quotfString=replacefString，CHR9，quot#9quotfString=replace。
