Duda sobre evitar que nos ingresen Sentencias SQL

[marx-pola]

Para evitar que nos ingresen Sentencias SQL en un textbox, ¿es necesario usar estas sentencias en todos los campos que sean textbox?
Ejemplo:
usuario=replace(request.form("usuario"), "'","")
password=replace(request.form("password" ),"'","")

Si tengo un formulario para llenar con nombre, apellido, direccion, edad, etc. ¿también tengo que hacer esto?

Gracias.

Marx.

[Lynx]

Hola de nuevo.

Respecto a tu duda yo quiero hacerte una pregunta, acaso has tenido problema con que alguien ingrese una consulta a SQL?

Te pregunto esto por que si lo habia pensado antes, pero no crei que fuese posible.

[marx-pola]

Hola Lynx! No me pasó, pero por ahí si hay alguien que tenga más tiempo en esto o lo sabe, a lo mejor nos saca de la duda.

Saludos.

Marx.

[AlZuwaga]

A mi me ocurrió. Armó un SQL y se logueó con los datos del primer usuario de la tabla.

Con respecto a si es necesario hacerlo en tooodos los campos, no lo se. Pero SI en los de validaciones de usuarios.

Creo que también dependería de lo que la SQL haga.. pensemos..

-en un 'insert' no hay 'where', así que creo que no hay problema...
-en un 'select' si hay (típico caso de comprobación de usuario registrado)
-en un 'update', tambien... y que podría ocurrir? Veamos:

SQL = "UPDATE Tabla SET Edad = 1 WHERE Username = 'algunoinventado' OR Username like '%%' AND Password = 'algunoinventado' OR Password like '%%'"

teniendo en cuenta que el usuario ingresado fue algunoinventado' OR Username like '%% y el pass algunoinventado' OR Password like '%% , este guacho estaría modificando las edades de todos nuestros usuarios registrados (claro que también tiene que saber el nombre de los campos)

bueno, ya me cansé de pensar

[marx-pola]

dazuaga... cada vez que veo tus respuestas más miedo me da ser tu enemigo... ;) .
Taaaaaanto que sabés guach..

Todo bien dazuaga, no dejo de sorprenderme cada vez que leo los post (estoy todo el dia acá) pero, es increíble las cosas que pueden pasar y hacer.

Ya me lo estoy agendando para tenerlo bien en cuenta.

Gracias y por supuesto si alguien quiere contar su anécdota... bienvenido sea.

Saludos.
Marx.