Question

关于ASP的replace替换的最后提问

<%

dim danweiid,danweiorder,danweiname,danweino,i
if request("action")="update" then
for i=1 to request.form("danweiid").count
danweiid=replace(request.form("danweiid")(i),"'","")
danweiorder=replace(request.form("danweiorder")(i),"'","")
danweiname=replace(request.form("danweiname")(i),"'","")
if replace(request.form("danweiorder")(i),"'","")="" then
%>

这是后台，关于修改数据库中邮编字段内容的表单接收处理。
我知道：replace(request.form("danweiid")(i),"'","")
替换request.form("danweiid")(i)中的'号替换为空

类似这些替换‘的，我不太明白它的意义是什么？为啥要替换，不替换又怎么样？请指教谢谢

Answer 1

这是防sql注入的，不替换一样使用，就是不够安全。只替换'号也还不够，还要替换掉其他的特殊符号，如*号等等。