為什么這個簡單的經典ASP搜索查詢不起作用？

Question

我正在用經典的asp進行非常簡單的搜索查詢，該查詢在數據庫中查找與用戶搜索查詢“相似”的單詞。

我的網頁說搜索“測試”時沒有結果。 但是我有一個特定的標題為搜索的帖子，可以在數據庫中看到。

我不確定為什么這行不通。

<% option explicit %>

<!DOCTYPE HTML>
<html>
<head>
  <link href="normalize.css" rel="stylesheet" type="text/css">
</head>
<body>
<!--#include file="header.asp"-->
<!--#include file="dbconn.asp"-->
<%
  dim stage, s, sql, info
  stage = request.querystring("stage")
  if stage = "" then stage=1



  '------------------------------------------------------------------
  if stage = 1 then
  '------------------------------------------------------------------

    response.write "<form action=""search.asp"" method=""get"">" &_
                   "<input type=""hidden"" name=""stage"" value=""2"">"&_
                   "<input type=""text"" id=""search"" name=""search"">" &_
                   "<input type=""submit"" value=""Search"">" &_
                   "</form>" 


  '------------------------------------------------------------------
  elseif stage = 2 then
  '------------------------------------------------------------------

    '--- grab the data from the form
    dim search
    search = Request.QueryString("search")



    '--- execute the query
    '                0       1            2
     SQL = " select ID, projectName, Description from projectstable"&_ 
            " where (projectName like ' %search% ' or description like ' %search% ')"

    set info=conn.execute(sql)

     if info.eof then
      response.write "    <div class=""box2"">"&chr(13)
      response.write "      Sorry, no records matching your query"&chr(13)
      response.write "    </div>"&chr(13)
    else
      response.write "<div class=""list"">" &_
                     "<table>" &_
                     "<tr>" &_
                     "<th>Title</th><th>Post</th>" &_
                     "</tr>"
      do
        response.write "<tr>" &_
                       "<td>"&info(1)&"</td><td>"&info(2)&"</td>"&_
                       "</tr>"
        info.movenext
      loop until info.eof
      response.write "</table></div>"
    end if

  '------------------------------------------------------------------
  end if  ' stage
  '------------------------------------------------------------------

  response.write "<br clear=""left""><br>"
  if stage=2 then 
    response.write "<i>that's all folks!</i><br><br>"&_
                   "<a href=""search.asp"">Search again</a> | " 

  end if
  response.write "<a href=""./"">back to main page</a>"
  conn.close
%>
</div>
</body>
</html>

Answer 1

您需要更改查詢以將搜索變量包含在sql字符串中（與搜索短語“搜索”相對）：

SQL = " select ID, projectName, Description from projectstable"&_ 
      " where (projectName like '%" & search & "%' or description like '%" & search & "%')"

話雖如此，這很容易受到sql注入的攻擊。 請謹慎使用這種方法。 考慮改用參數化查詢。

為什么這個簡單的經典ASP搜索查詢不起作用？

問題描述

1 個解決方案

解決方案1
2 已采納 2013-10-09 03:56:01

為什么這個簡單的經典ASP搜索查詢不起作用？

問題描述

1 個解決方案

解決方案1 2 已采納 2013-10-09 03:56:01

解決方案1
2 已采納 2013-10-09 03:56:01