具有两个参数的ASP经典SQL查询[重复]

Question

这个问题已经在这里有了答案：

• ASP经典SQL查询错误消息，正确的语法请 回答2

这是ASP Classic中的SQL查询：

mQry = "SELECT DISTINCT name FROM best WHERE invoice_num = "  & request.querystring("invoice_num") & " AND name LIKE '%" & request.querystring("org_name") & "%'"

我不确定这是正确的还是什么。 基于此查询，我需要基于invoice_num和org_name两个输入参数显示或输出“ name ”。 我总是收到此错误消息：

Oracle的Microsoft OLE DB提供程序错误'80040e07'ORA-01722：无效的编号。

什么是正确的ASP Classic SQL查询语法呢？

Answer 1

您很可能拥有自引用表单（即，针对同一页面），并且在执行该代码之前无需检查表单是否已提交。

这段代码将执行这种检查，并对SQL注入攻击提供更好的保护：

Dim invoiceNumber
invoiceNumber = Request.QueryString("invoice_num")
If Len(invoiceNumber)>0 And IsNumeric(invoiceNumber) Then
    invoiceNumber = CLng(invoiceNumber)
    If invoiceNumber>0 Then
        mQry = "SELECT DISTINCT name FROM best WHERE invoice_num = "  & invoiceNumber & " AND name LIKE '%" & Replace(Request.Querystring("org_name"), "'", "''") & "%'"
        '...rest of the code here...
    End If
End If

Answer 2

Request.QueryString（“ myval”）读取一个称为“ myval”的URL参数。

因此，如果您有一个名为mypage.asp的页面，则可以在URL中为其指定参数，如下所示：

mypage.asp？myval = test1234

因此，使用上述URL，如果您调用Request.QueryString（“ myval”），则将返回“ test1234”。

当您运行ASP页时，确定要为查询中的两个参数指定URL参数吗？ 听起来他们是空白。 这对于字符串是可以的，但是对于数字值将失败。

URL中应同时指定Invoice_num和org_name。