窗体 - 需要允许为撇号

Question

我有一个用传统的ASP编写的表单，有一些轻客户端验证。除了一件事以外，一切都很好 - 当有撇号时，表单失败。其中一个字段可能经常有撇号（例如，如果用户的姓氏是O'Brien，则姓氏字段将失败）。

我该如何解决这个问题？

Answer 1

您必须检查您的ASP代码。如果你看到任何代码看起来像

string SQL = 
    "SELECT user_id, first_name,last_name FROM users WHERE username = " 
    + myUserName; 

其中myUserName来自用户，那么你肯定是脆弱的。

未修复该试图逃跑的输入（即，全部替换“'”和‘‘’’），但使用这篇文章中概述了SQL Injection and how to avoid it

一言以蔽之一个完全不同的方法，请从bobby-tables网站尝试类似以下内容

String username = "joe.bloggs"; 
SqlCommand sqlQuery = new SqlCommand(
"SELECT user_id, first_name,last_name FROM users WHERE username = ?username", 
    sqlConnection); 
sqlQuery.Parameters.AddWithValue("?username", username);