我做的东东的标题上不能加单引号，一加上程就出错，语法错误 (操作符丢失) 在查询表达式 ，怎么过滤单引号啊，还有双引号

str=server.HTMLEncode(str)

最好是不要加!!
这就是代码的漏洞所在!!
黑客攻击就从这里开始!!

楼上的到底懂不懂这个的原理？

我觉得你回复的两个贴都存在问题!!
我说的一定有道理!
引起问题的不是任何单独的符号，这样子的过滤，有些冤枉单引号了。要针对性的去过滤.
你觉得呢?

[此贴子已经被作者于2005-12-6 15:35:36编辑过]

支持楼上的说法!!我和你的观点一样!!

呵呵
我觉得你回复的第一个帖子有问题，所以我才发的第二个帖子，呵呵

为什么说最好不用加？
我认为加上恰恰是比较安全的

function ck(str)
str=server.HTMLEncode(str)
str=replace(str,"'","‘")
str=replace(str,chr(39),"’")
str=replace(str,",","，")
str=trim(str)
str=replace(str,vbcrlf,"<br>")
str=replace(str,chr(13),"<br>")
ck=str
end function
用法
username=ck(request.form("username"))

以上是我自己用的过滤代码

我觉得zhouyang说得很对哦!!我支持他的意见!
好,让我来分析一下 hxfly 的代码存在的问题!!

str=server.HTMLEncode(str)
或
str=replace(str,"'","""") '换成双引号，注意后面的是连着4个引号

不知道楼上的几位还有什么方法，str=server.HTMLEncode(str)的漏洞问题我不明白