---
title: "Inloggning på en websida med användarnamn och lösenord..."
type: "forum-thread"
url: "https://www.webforum.nu/amne/databaser-sql/112342-inloggning-på-en-websida-med-användarnamn-och-lösenord"
topic: "Databaser & SQL"
topic_url: "https://www.webforum.nu/amne/databaser-sql"
author: "mattiasnordin"
published: "2004-09-25T09:28:15.000Z"
updated: "2007-01-29T08:26:03.000Z"
replies: 18
views: 1128
page: 1
pages: 1
language: "sv-SE"
site: "webForum — webforum.nu"
rights: "Upphovsrätten till varje inlägg tillhör dess författare."
attribution: "Citera som: webForum, https://www.webforum.nu/amne/databaser-sql/112342-inloggning-på-en-websida-med-användarnamn-och-lösenord"
---

# Inloggning på en websida med användarnamn och lösenord...

## #1 — mattiasnordin, 2004-09-25T09:28Z

Hur bör en bra fråga för att kontrollera en användares användarnamn och lösenord mot en access 2003 databas se ut?

Det behöver inte vara idiotsäkert men jag vill kontrollera att jag inte gör några dummheter  :h

Permalänk: https://www.webforum.nu/p/112342

## #2 — @nders, 2004-09-25T09:34Z

```
SELECT 1 FROM tblUsers WHERE UserName = 'foo' AND UserPassword = 'bar'
```

Glöm inte bort att fixa apostrofer i inmatade värden för att undvika problem.

Permalänk: https://www.webforum.nu/p/1444740

## #3 — mattiasnordin, 2004-09-25T10:25Z

Hej Anders. 

Vad menar du med: 

> Glöm inte bort att fixa apostrofer i inmatade värden för att undvika problem.

Permalänk: https://www.webforum.nu/p/1444750

## #4 — Peeer, 2004-09-25T10:43Z

Eftersom det var ett inloggningsscript så antar jag att besökarna själva ska fylla i användarnamn/lösenord i några textrutor. Skriver de en apostrof (') i ett av fälten kommer de få ett felmeddelande (de kan dessutom logga in i ditt system utan att ange riktiga uppgifter på detta sätt. Sök på sql injections så hittar du mer fakta), du måste därför se till att alla apostrofer escapas (\~oskadligörs) innan de sätts in i sql-satsen.

Om besökaren fyller i fälten med användarnamnet "admin" och lösenordet "' or '1' = '1" så blir sql-satsen som följer

```
SELECT 1 FROM tblUsers WHERE UserName = 'admin' AND UserPassword = '' or '1' = '1'
```

Vad tror du händer då?

Permalänk: https://www.webforum.nu/p/1444757

## #5 — Nöff, 2004-09-25T14:29Z

> Vad tror du händer då?

 

Korrekt, Man ska ALLTID och UTAN undantag använda Parametriserade frågor.

SELECT \* FROM username WHERE namn=@namn AND userpassword=@password

Permalänk: https://www.webforum.nu/p/1444861

## #6 — Peeer, 2004-09-25T14:55Z

> **Nöff skrev:**
>
> Korrekt, Man ska ALLTID och UTAN undantag använda Parametriserade frågor.

Que?
Har aldrig använt det och det fungerar bra ändå.

Permalänk: https://www.webforum.nu/p/1444885

## #7 — mattiasnordin, 2004-09-25T19:14Z

Que ? 

> Korrekt, Man ska ALLTID och UTAN undantag använda Parametriserade frågor.
> 
> SELECT \* FROM username WHERE namn=@namn AND userpassword=@password

Permalänk: https://www.webforum.nu/p/1444977

## #8 — Nöff, 2004-09-25T19:57Z

Va!?. Använder ni inte parametriserade frågor när ni söker upp inloggningsuppgifter??. Mama mia, era webprojekt skulle inte jag vilja vara ansvarig för. Jag förutsatte att ni alla använde det.

<http://msdn.microsoft.com/msdnmag/issues/04/09/SQLInjection/default.aspx>

Permalänk: https://www.webforum.nu/p/1444989

## #9 — Peeer, 2004-09-25T20:38Z

På vilket sätt skulle det vara (mer) osäkert att köra med "normala" sql-satser om man ser till att all indata escapas först?

Permalänk: https://www.webforum.nu/p/1445002

## #10 — @nders, 2004-09-26T07:25Z

> **Nöff skrev:**
>
> Jag förutsatte att ni alla använde det.

Jag har arbetat med webbutveckling mot databaser i sju år, och aldrig har jag använt parametriserade frågor. Betyder det att alla applikationer jag utvecklat är osäkra? Icke.

Nöff;

Ur säkerhetsaspekten, vad tillför parametriserade frågor jämfört med en egen funktion som säkrar upp för SQL-injections?

Det är en självklarhet att validera inmatningar och säkra upp sina SQL-frågor, men man måste *inte* använda parametriserade frågor.

Och det är lugnt, jag vill inte ha dig som ansvarig för mina webbprojekt heller. ;)

Mvh

Permalänk: https://www.webforum.nu/p/1445107

## #11 — mattiasnordin, 2004-09-26T15:34Z

Jag är med i matchen på Peeers inlägg. @-varianten förstår jag inte alls. 

Kan man få ett litet kodexempel ?

Permalänk: https://www.webforum.nu/p/1445224

## #12 — @nders, 2004-10-05T06:07Z

Det skulle vara intressant med någon sorts Nöff-svar i den här tråden. :/

Permalänk: https://www.webforum.nu/p/1452204

## #13 — mattiasnordin, 2004-10-05T07:18Z

Håller med @nders... 

Det är därför jag inte har stängt tråden ännu :)

 ? ¿

Permalänk: https://www.webforum.nu/p/1452239

## #14 — Mattias Nordin, 2007-01-28T10:47Z

Hej igen, 

Vad är det för funktion ni kör för att hindra apostrofinmatade frågor?

Räcker det med:

```
funChkString = Replace(string, "'", "")
```

Permalänk: https://www.webforum.nu/p/1927247

## #15 — @nders, 2007-01-28T10:54Z

räcker och räcker. Det är dåligt att göra som du skriver, eftersom du förstör innehållet i strängen.

Apostrofer skall escape:as, inte tas bort. Alltså; ersätt en apostrof med två.

Permalänk: https://www.webforum.nu/p/1927249

## #16 — Travoni, 2007-01-28T11:11Z

Det beror också på MSDB, mySql så måste du även escapa \\ 
I mssql kanske kommentarer osv. Du får kolla upp det för varje databas du skall använda.

Permalänk: https://www.webforum.nu/p/1927251

## #17 — Mattias Nordin, 2007-01-28T16:23Z

Ok, tack för infot! 

Vad bra det hade varit om jag fått slå ihop användaren "mattiasnordin" med "Mattias Nordin" så att jag även kan stänga mina gamla trådar som lösta. 

@nders, du får gärna sätta ditt svar som "slutgiltigt svar".

Mvh
Mattias

Permalänk: https://www.webforum.nu/p/1927331

## #18 — @nders, 2007-01-28T16:35Z

> **mattias skrev:**
>
> Vad bra det hade varit om jag fått slå ihop användaren "mattiasnordin" med "Mattias Nordin"

Vad bra det hade varit om folk hade kunnat välja ett användarnamn och sedan hålla fast vid det. ;)

> @nders, du får gärna sätta ditt svar som "slutgiltigt svar".

Då gör jag så! :bire

För jag antar att inte Nöff behagar behaga oss. Det hade jag iofs inte väntat mig heller...

Permalänk: https://www.webforum.nu/p/1927333

## #19 — Mattias Nordin, 2007-01-29T08:26Z

PS Förra versionen av detta forum tillät inte mellanslag i användarnamnet och jag vill ha samma användarnamn i alla mina forum. Det är anledningen till mitt byte.  DS

Cheers! :)

Permalänk: https://www.webforum.nu/p/1927476

---

Tråden på webben: https://www.webforum.nu/amne/databaser-sql/112342-inloggning-på-en-websida-med-användarnamn-och-lösenord