防止SQL注入

一、使用参数化输入。存储过程里尽量避免语句拼接。

二、对于一些数据库，必须设置权限，甚至设置到字段。

三、始终通过测试类型、长度、格式和范围来验证用户输入。

四、过滤敏感字符。

[vb] view plaincopy

1. Function   ReplaceStr(Str)     
2.   Str=Trim(Str)     
3.   Str=Replace(Str,"'","'")     
4.   Str=Replace(Str,";",";")     
5.   Str=Replace(Str,"   "," ")     
6.   Str=Replace(Str,"""","”")     
7.   Str=Replace(Str,"%","")     
8.   Str=Replace(Str,"__","")     
9.   Str=Replace(Str,"--","--")     
10.   Str=Replace(Str,"/","/")     
11.   Str=Replace(Str,"?","")     
12.   Str=Replace(Str,vbcrlf,"<br>")     
13.   Str=Replace(str,"0x0020","")     
14.   ReplaceStr=Str     
15. End   Function