Question

ASP 数据库 update

---------------表单------------
<form method="post" action="../liuyanthink1.asp">
<input name="name" type="text" value='乐兔兔' />
<textarea name="mazmun" id="editor_id" style="width:700px;height:319px;">欢迎参加乐兔兔旅行社！乐在其中,图我自在！</textarea> <input value='<%=rs("id")%>' name="id" type="text" style="width:0px;height:0px;" /></form>
--------------------操作---------
<!--#include file="data.asp"-->
<%
dim biaoti,neirong,yonghu,nol
ip=request.servervariables("remote_addr")
datas=date()
biaoti=Trim(request.Form("biaoti"))
nol=Trim(request.Form("kong"))
neirong=Trim(request.Form("mazmun"))
yonghu=Trim(request.Form("name"))
id=Trim(request.Form("id"))
if yonghu<>"" and neirong<>"" then
%>
<%
rs.open "select * from liuyan where id="&id,conn,1,3
rs("htime")=datas
rs("huifu")="neirong"
rs.update
rs.close
%>
<%
else
response.Redirect("index.asp")
end if
%>
参考了很多代码实在写不出来
希望你帮个忙
数据库 表liuyan
字段 biaoti,neirong,yonghu,ftime,ip,htime,huifu,guanli,ipp 思路是这样的回复留言功能
字段前五个是用户留的，后四个是管理员回复的
谢谢

Answer 1

1、id是空的，查询变成 " select * from 表 where id = " 报错
2、trim接收参数有sql注入漏洞

追问

id 不是空的
你写的看不懂

追答

rs.open "select * from liuyan where id="&id,conn,1,3
if rs.eof then
response.write "没有找到相应记录"
'rs.addnew '没有则添加
else
rs("htime")=datas
rs("huifu")="neirong"
rs.update
end if
rs.close