casting - 经典 ASP 中用户提交的内容中的 'cast' 是否危险？

Question

我继承的遗留 Web 应用程序是在经典 ASP 中为新西兰乐施会定制编写的，它在用户提交的输入上运行字符串替换，删除字符串“cast”，大概是因为 cast 函数。

然而，这意味着我们的参与者都不能拥有包含该字符串的姓名或电子邮件地址。这给姓哈卡斯特的人带来了麻烦。

这在安全方面似乎完全过头了——或者至少必须有一种方法来确保用户输入是安全的，而无需更改姓名或电子邮件地址中带有“cast”的人的输入。

实际替换是通过以下方式完成的:

strString = (Replace(strString, "cast", "", 1, -1, vbTextCompare))

我正在考虑只评论那一行，这样做安全吗？

Answer 1

旧应用程序做错了。

与其在源头过滤内容，不如在任何使用内容的地方对其进行属性编码。换句话说，如果它被用在查询中，该值将在将其添加到 SQL 语句之前进行编码，或者最好不受干扰地放入存储过程参数中。

所以是的，您可以删除该代码，但要确保 strString 在其他地方安全使用。