单引号注入SQL，取代函数，要怎么写

function ck(str)
str=server.htmlencode(str)
str=replace(str,"'","")
str=replace(str,chr(39),"")
str=replace(str,vbcrlf,"<br>")
str=replace(str,chr(13),"<br>")
ck=str
end function

使用：
username=ck(request.form("username"))

如果用取代的话，会把SQL本身的单引号给取代掉吗。

[此贴子已经被作者于2005-7-7 8:56:04编辑过]

概念错误
不是取代SQL语句的引号
是取代相应的查询变量的引号
如你要查询一个NAME
则
NAME=REQUEST("NAME")
NAME=CK(NAME)

SQL="SELECT * FROM TABLE WHERE NAME='"&NAME&"'"


并不是SQL=CK(SQL)

.....

今天借用了一下，果然好用！谢谢！！！！！！！！呵呵，发帖前搜一搜，有问题不用求人！
哈哈！