Skjul bruger og kode til mssql

Hvis du bruger integrated security saa kende din app ikke brugernavn/kodeord.

Men du skal nok snarere til at beskytte dig mod SQL injection.

Umiddelbart syntes jeg at jeg har beskyttet mig mod SQL Injection i login formularen. Men hvordan får hackeren indsat noget SQL-database..

'Tjecker om felterner er udfydlt
    if Request.Form("email") <> "" AND Request.Form("password") <> "" then
       
                Set rs = Server.CreateObject("ADODB.Recordset")
                sql = "select * from users where email = '" & Replace(Request.Form("email"),"'","''") & "'"
                rs.open sql, conn, 1, 3
                                                                           
                'Tjecker om brugeren eksisterer
                if rs.EOF or rs.BOF then
           
                        Response.Redirect("/fail/failcode402")
                       
                else
               
                    password = Replace(Request.Form("password"),"'","''")
                           
                    if rs("password") = hex_md5(password) then
                   
                    session(session_name_signin) = rs("id")
                                                                                                   
                    Response.Redirect("/")                                                       
                           
                    else
                   
                        Response.Redirect("/fail/failcode403")
                       
                    end if
                   
                   
                end if
               
               
            rs.Close
            set rs = nothing
           
    else   
        Response.Redirect("/fail/failcode400")
    end if

Den SQL injection kunne ogsaa ske paa andre sider end login.

Replace ' med '' for beskyttelse mod SQL injection er godt nok aegte 90'er stil.

Ok, tak for hjælpen..

Generelt set bør du benytte dig af ADO Command-objektet og så parametre til opslag og opdateringer af databasen. Se evt. min artikel her på eksperten for en intro til dette: www.eksperten.dk/guide/1250

softspot gav mig den bedste løsning med linket til guiden..

Så skal du vel bruge et svar... :-)

Dengang jeg programmerede med SQL oplysninger, havde jeg dem som regel i et eksternt dokument, hvor jeg havde dem gemt i variabler