用户登录验证安全问题

来源：互联网发布：类似于ps的软件编辑：程序博客网时间：2024/05/03 17:06

关于登录验证安全问题，用户名和密码使用：1=1 or 1=1;

典型的SQL： sql="select * from 表where user= "&user&" and pass= "&pass&""

为避免：sql="select * from 表 whereuser= 1 = 1 or 1=1 and pass= 1=1 or 1 = 1 "

解决方法：
一、函数替代法：
用REPLACE将用户端输入的内容中含有特殊字符进行替换，达到控制目的啊！sql="select * from 表 where user="&replace(user," "," ")&" and pass="&replace(pass," "," ")&" "
这种方法每次只能替换一个字符，其实危险的字符不只是" "，还有如">"、"<"、"&"、"%"等字符应该全控制起来。但用REPLACE函数好象不太胜任那怎么办呢？？
二、程序控制法
用程序来对客户端输入的内容全部控制起来，这样能全面控制用户端输入的任何可能的危险字符或代码，我就的这个方法！

<%
捕捉用户端提交的表单内容
user=request.from("user")
pass=request.from("pass")
...
循环控制开始
for i=1 to len(user)
用MID函数读出变量user中i 位置的一个字符
us=mid(user,i,1)
将读出的字符进行比较
if us=" " or us="%" or us="<" or us=">" or us="&" then
如果含有以上字符将出错提示，不能含有以上特殊字符
response.redirect "err2.htm"
response.end
end if
next
...
%>