身份：user
发帖：60
登陆次数：23
发表于 2006/7/28 21:35:44
userName=replace(trim(request.Form("userName")),"'","")
password=replace(trim(request.Form("password")),"'","")
那是用空格替换单引号吗？是过滤单引号，为什么要过滤单引号？听人家说防注入要过滤单引号，不是很明白。
能简单的说下吗？
身份：admin
发帖：1438
登陆次数：3287
发表于 2006/7/29 7:32:59
因为sql里一个字段如果是文本型，前后要加单引号，但是如果别人输入了单引号，你再一拼接sql，就乱了。如果人家特意拼造一个东西，就会执行一些sql了。
