了解了经典的'or'注入，文章里说现在这种漏洞已经很少了，可在自己写的程序里试了一下。居然还存在这个漏洞。
不知道怎么样才能防止这些问题发生。请高手指点指点啊！！！~~~~~~~~~~~~~

sql验证后再
进行密码验证验证就行了

[此贴子已经被作者于2006-3-2 15:54:55编辑过]

就是不知道方法啊~~`

我知道简单的.
如:
sql=select * form 库 where 密码=密码 and 用户名=用户名"
rs.open sql,conn,1,1
if not rs.eof then
if rs("密码字段")=密码 then
response.write "成功"
end if
end if
response .write"失败"

[此贴子已经被作者于2006-3-2 16:17:16编辑过]

晕，这个不行的

‘or’'='
我也不知道你那个'or'是不是指上面的这个。。。
如果是，我上面的是可以的。。如果不是，我还不知道那个or

是那个东西。但是我用的就是
sql=select * form 库 where 密码=密码 and 用户名=用户名"
可是这样也不能避免啊

登陆加入和验证码功能
登陆成功后session变量作为登陆后的标志

然后程序页面都引入这个session变量，如果session的值为空，就跳转到登陆页面
还可以引入一段防注入四函数，用以判断id值

用session就可以屏蔽掉'or'这个吗？