זקוק לעצת חכמים ומנוסים

<% If Request.Cookie("password")="1234" Then Response.Redirect "insert.asp" Else If Request("password")="1234" Then Response.Redirect "insert.asp" Else Response.Write "Wrong Password" End If %> <html> <head> <title>login.asp</title> </head> <body> <form method=post action="login.asp"> <table width="50%" align="center"> <tr> <td>password:</td> <td><input type="text" name="password"></td> </tr> <tr> <td colspan=2><input type="submit"></td> </tr> </table> </form> </body> </html>

נשארתי ער עד מאוחר

ציטוט:

אניווי - לא כ"כ הבנתי את מה שכתבת שם עם ה require. אשמח אם תוכל להרחיב קצת את הקטע הזה. אני אישית מכיר את הפקודה Include ב ASP, אבל לא נראה לי שיש צורך שאני אשתמש בה, מאחר שמדובר סה"כ על מנהל אחד לאתר, ורק 2/3 דפים שנצרכים, כדי להוסיף את המשתנים לטבלה. אם אתה חושב אחרת - אשמח לשמוע על כך.

require זו פקודה ב-PHP שדומה מאוד ל-include. כרגע מבחינתך, שתי הפקודות שוות.

למרות שיש מעט קבצים של מערכת הניהול ומנהל יחיד, עדיף לדעתי לשמור תמיד על מבנה הגיוני, שיעזור לך (וגם לאנשים הבאים שיסתכלו על הקוד) להתעסקות קלה יותר עם הקוד בעתיד.
לפעמים יכולות לצוץ לך בעיות שרק במבנה הנ"ל (או מבנה אחר שתחשוב עליו) תוכל לפתור אותו במהירות, בקלות ובבטיחות (בטיחות שביצעת את השינויים בכל המקומות שצריך).

ציטוט:

כמו כן - ת'אמת, עוד לא הגעתי לקטע של 'הברחת תווים'. בכלל לא חשבתי על זה עדיין. אשמח אם תוכל להפנות אותי לחומר בנושא, כדי שאוכל ללמוד כיצד עושים זאת.

תחפש בגוגל על SQL Injections (או בעיברית: הזרקות SQL)

הנה כמה קישורים:
http://www.php.net/manual/en/securi...l-injection.php - תוכל להבין, למרות שזה שייך ל-PHP
http://en.wikipedia.org/wiki/SQL_injection

אולי תוכל למצוא עוד כאן:
http://www.addedbytes.com
http://shiflett.org
http://www.xaprb.com/blog

אסביר לך את הרעיון הכללי ולמעשה שמסכם את הכל:

נניח יש לך שאילתא:
קוד:
'SELECT true FROM members WHERE member_name="'+Request("name")+'" AND password="'+Request("password")+'"'
קצת שכחתי את התחביר של ASP, אבל החלק הבא:
קוד:
Request("password")
מתייחס לסיסמא שהמשתמש שלך בטופס ההתחברות שלו. (כנ"ל לגבי ה-member name)

לכאורה השאילתא נראית בטוחה. אבל מה קורה כאשר המשתמש כותב שהשם שלו הוא:
קוד:
myName" OR 1=1 --
???

אם המשתמש יכתוב שזהו שמו, אז השאילתא תחזיר true בקלות, כיוון שאז היא תיראה כך:

ציטוט:

'SELECT true FROM members WHERE member_name="myName" OR 1=1 --" AND password="stam_password"'

המחרוזת הבאה - "--" (פעמיים התו של מקף) ב-SQL נחשבת כהערה של שורה אחת. כלומר שכל מה שבא אחרי "--" נחשב הערה.
ולכן במקרה הנ"ל השאילתא היא למעשה:
קוד:
'SELECT true FROM members WHERE member_name="myName" OR 1=1
וכאן אפשר לראות בבירור שתנאי ה-WHERE אינו חשוב ואינו משפיע על תוצאות השאילתא.
במקרה זה יוחזרו כל החברים מרשימת ה-members, כולל האדמין עם ההרשאות הכי גבוהות של המערכת.

לכן זה נקרא "הזרקות SQL" - המשתמש יכול להכניס ("להזריק") מחרוזת שתיתפרש כחלק ממשפט ה-SQL עם פקודות של SQL.

ציטוט:

ואגב, בתור משו קטן ליעול הקוד - שמעתי שעדיף להשתמש ב ADO להוספת נתונים, מאשר במשפט Insert של SQL. שזה יותר נוח. זה נכון?

גם אני שמעתי...

אף פעם לא ניסיתי להשתמש ב-ADO (או ב-PDO של PHP).
לפי מה שקראתי, הבנתי שזה עוזר משמעותית לייעול הקוד.
אבל קשה לי משום מה להאמין לזה...
האנשים שאמרו שזה ייעל את הקוד שלהם, בין היתר ביצעו גם פעולות אחרות בשביל ייעול הקוד (מלבד השימוש ב-PDO או ADO), ולכן הם לא בדקו ספציפית אם ה-ADO או PDO באמת משפר.

אשמח לחוות דעת נוספת בנושא.

בהצלחה

<HTML> <HEAD> <TITLE>הכנס טיול</TITLE> </HEAD> <BODY> <% If Request.Cookie("password")<>"1234" And Request("password")<>"1234" Then Response.Write "Wrong Password" Else If Request ("Action") <> "שלח" Then %> <FORM METHOD=”post” ACTION=”<%= Request.ServerVariables(“PATH_INFO”)%>”> <P>כותרת הטיול: <BR> <INPUT TYPE=”text” NAME=”Title”> <P>אזור: <BR> <INPUT TYPE=”text” NAME=”Area”> <P>תאור: <BR> <TEXTAREA NAME=”Descr” ROWS=3 COLS=30> </TEXTAREA> <P><INPUT TYPE=”submit” NAME=”Action” VALUE=”שלח”> </FORM> <% Else Dim DBconn, rs Set DBconn = Server.CreateObject ("ADODB.Connection") DB.Mode = adModeReadWrite DBconn.Open "Provider=Microsoft.Jet.OLEDB.4.0; Data Source =" & Server.MapPath("db\trips.mdb") Dim RS Set RS = Server.CreateObject ("ADODB.Recordset") RS.Open "Trips", DBconn, adOpenStatic, adLockPessimistic RS.AddNew RS ("Title") = Request.Form("Title") RS ("Area") = Request.Form("Area") RS ("Descr") = Request.Form("Descr") RS.Update DBconn.Close Set DBconn = Nothing Response.Write "הטיול נוסף בהצלחה." End If End If%> </BODY> </HTML>

אפשרויות משלוח הודעות

אתה לא יכול לפתוח אשכולות חדשים

אתה לא יכול להגיב לאשכולות

אתה לא יכול לצרף קבצים

אתה לא יכול לערוך את ההודעות שלך

קוד vB פעיל

סמיילים פעיל

קוד [IMG] פעיל

קוד HTML כבוי

כלי אשכול	חפש באשכול זה
הצג גירסת הדפסה שלח דף זה ב E-Mail	חפש באשכול זה: חיפוש מתקדם
מצבי תצוגה	דרג אשכול זה
עבור למצב לינארי מצב כלאיים עבור למצב משורשר	דרג אשכול זה:

הדף נוצר ב 0.05 שניות עם 12 שאילתות
צור קשר - Fresh - למעלה