查询表达式中存在语法错误（缺少运算符）

Question

我知道这是一个常见错误，但我仍然无法自己解决。 我想做的是有一个名为 status 的 SELECT 项目，它允许用户选择他们的就业状态，我只想获取结果并更新 user_table（访问文件）状态单元格。 任何答复将不胜感激！

代码如下：

<!--#include file="../conn/conn.asp"-->
<%
id=request.QueryString("id")
status=request.Form("status")
sql="select * from user_table where id="&id
set rs=conn.execute(sql)     
sql="update user_table set Status='"+status+"' where id="&id
'response.Write sql
conn.execute(sql)
conn.close
response.Write "<script>alert('Change Sucessful!');</script>"
set conn=nothing
response.end()
%>

Answer 1

我认为您可能遇到 conn.execute(sql) 以及 response.end() 问题

要修复它，您需要执行以下任一操作：

conn.execute sql

或

Call conn.execute(sql)

但是，是的，您应该遵循发布的其他评论，因为您的技术存在安全问题。您应该考虑将其更改为使用参数：

<!--#include file="../conn/conn.asp"-->
<%

id = request.QueryString("id")
status = request.Form("status")

sql = "select * from user_table where id = @id"
Set cmd = CreateObject("ADODB.Command")
cmd.CommandText = sql
Set cmd.ActiveConnection = conn
cmd.Prepared = True
cmd.Parameters.Refresh 
cmd.Parameters("@id") = id
Set rs = cmd.Execute
Set rs = nothing
Set cmd = nothing

sql = "update user_table set status = @status where id = @id"
Set cmd = CreateObject("ADODB.Command")
cmd.CommandText = sql
Set cmd.ActiveConnection = conn
cmd.Prepared = True
cmd.Parameters.Refresh 
cmd.Parameters("@status") = status
cmd.Parameters("@id") = id
Set rs = cmd.Execute
Set rs = nothing
Set cmd = nothing

response.Write "<script>alert('Change Sucessful!');</script>"
Set conn = nothing
response.end
%>

Answer 2

我猜 conn.asp 让 conn 保持打开状态？否则你需要打开它。另外，当您取消注释 response.write sql 行时会显示什么？

而且，你肯定会向黑客开放自己。您需要“清理”来自 request.form 或 request.querystring 的任何内容（至少使用 replace(..., "'", "''")，或者更好的是，使用存储过程而不是直接的 sql