顶楼上的一下
数字是安全的，也比较好用，能用数字就不要用字符串！

我把防注入程序改了一下,大家分享一下
Function SafeRequest(ParaName,ParaType)
'--- 传入参数 ---
'ParaName:参数名称-字符型
'ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符)
Dim Paravalue
Paravalue=trim(Request(ParaName))
If ParaType=1 then
if len(Paravalue)<>0 then
If not isNumeric(Paravalue) then
Response.write "应为数字!!!!"
Response.end
End if
end if
Else
Paravalue=replace(Paravalue,"'","")
x=len(Paravalue)
if x>20 then //此处限制传递参数的长度
response.write "非法字符"
response.end
end if
End if
SafeRequest=Paravalue
End function

[此贴子已经被作者于2006-1-13 9:40:22编辑过]

SQL通用防注入程序 V3.0

到网上找一下，挺好用的