Formulär

När du skickar värden i querystrings bör du urlencoda dem, om du inte vet vad de innehåller.

Exempel:

Response.redirect "sida.asp?namn=" & server.urlencode(namnet)

Och, nej, asp-kod som skickas i ett formulär körs inte av mottagarsidan, om du inte skriver koden så vill säga. Koden som skickas hanteras som en sträng.

Mvh,

Om jag skriver i ett formulär
"<%response.redirect <A HREF="http://www.annansida.se>"" TARGET=_blank>www.annansida.se>"</A>
och sedan spara det i databasen.

Sedan visar jag det på en annan sida på detta sätt <%=variabel%> går den då vidare till www.annansida.se eller visar den bara texten.

Det jag vill göra är att försäkra mig om att besökarna inte ska kunna skriva något som kan skada sidorna som t.ex javascript, html, asp m.m

Finns det någon bra funktion för detta förutom att använda server.HTMLEncode överallt.

Text ifrån databasen kommer alltid att köras som vanlig text, så det finns inget att oroa sig för att det skulle köras som ASP-kod.

Javascript och html då?
Html körs och det kan förstöra en hel del.

Är det viktigt att köra den här funktionen på allt som fylls i

Function FixaTecken(sfix)

sfix = Replace(Trim(sfix), "'", "''")
sfix = Replace(sfix, "|", "")
FixaTecken = sfix

End Function

Jag vet inte vad pipe-tecknet gör, men apostrof bör du ersätta. Dels av säkerhetsskäl, men också eftersom du annars inte kan använda apostrofer i dina strängar i SQL-frågan.

Fel:

SELECT * FROM tblMedlemmar WHERE LastName = 'O'Connor'

Rätt:

SELECT * FROM tblMedlemmar WHERE LastName = 'O''Connor'

Mvh,