asp-classic - 如何在经典 ASP 中运行参数化 SQL 查询？它安全吗？

Question

我将不得不处理经典 ASP VBScript 中的一些 SQL 代码。

我有两个问题。

首先，在 .net 中，我习惯于使用 System.Data.SqlClient 命名空间对象来执行查询。例如:

Dim conn as New SqlConnection("Data Source=MyServer;uid=myUid;pwd=myPwd;Initial Catalog=myDataBase;"  
Dim cmd as New SqlCommand("Select fname From myTable where uid=@uid;", conn)  
cmd.Parameters.add(New SqlParameter("@uid",100323)  
conn.open()
Response.Write(cmd.ExecuteScalar())
conn.Close()

有人告诉我，使用参数化查询可以使我的查询免受 SQL 注入(inject)攻击。

我想知道在经典 ASP 中使用 VBScript 执行此类查询的等效代码是什么，以及必须使用哪些类似的安全预防措施来防止 SQL 注入(inject)。

Answer 1

有些 ADODB 对象基本上做同样的事情。
ADODB.Command 对象相当于 SqlCommand。从那里开始，它基本上与 .NET 中的操作相同。

set cmd = Server.CreateOject("ADODB.Command")
cmd.CommandText = "select From Table where ID = @id")
set param = cmd.CreateParameter("@id", adInteger, adInput,0,0)

我经常使用 w3schools有关 ADO 对象的帮助。