Làm cách nào để chạy truy vấn SQL được tham số hóa trong ASP cổ điển? Và nó có an toàn không?

Question

Tôi sắp phải giải quyết một số mã SQL trong ASP VBScript cổ điển.

Tôi có hai câu hỏi.

Đầu tiên, trong .net, tôi đã quen sử dụng đối tượng không gian tên System.Data.SqlClient để thực hiện truy vấn. Ví dụ:

Dim conn as New SqlConnection("Data Source=MyServer;uid=myUid;pwd=myPwd;Initial Catalog=myDataBase;" 
Dim cmd as New SqlCommand("Select fname From myTable where uid=@uid;", conn) 
cmd.Parameters.add(New SqlParameter("@uid",100323) 
conn.open() 
Response.Write(cmd.ExecuteScalar()) 
conn.Close() 

Tôi đã được thông báo rằng việc sử dụng truy vấn tham số như vậy làm cho truy vấn của tôi an toàn khỏi các cuộc tấn công SQL injection.

Tôi muốn biết mã tương đương để thực hiện truy vấn như vậy trong ASP cổ điển với VBScript và những biện pháp phòng ngừa an ninh tương tự nào phải được sử dụng để bảo vệ chống lại SQL injection.

Answer 1

Có các đối tượng ADODB về cơ bản giống nhau. đối tượng ADODB.Command tương đương với SqlCommand. Từ đó nó về cơ bản cũng giống như trong .NET.

set cmd = Server.CreateOject("ADODB.Command") 
cmd.CommandText = "select From Table where ID = @id") 
set param = cmd.CreateParameter("@id", adInteger, adInput,0,0) 

Tôi thường xuyên sử dụng w3schools để được trợ giúp về các đối tượng ADO.