susbstituir caracter de formulario

[splig]

Buenas. Aver si alguien puede ayudarme: tengo un formulario q cuando se envia, si algún campo contiene un apóstrofe se mezcla con el codigo fuente y me da error. Me he fijado que en ForosDelWeb se substituyen los apóstrofes por ". Pues queria saber como controlar eso. Sé como hacerlo desde JavaScript pero me han dicho que es mejor desde ASP. Como lo hago? Que opinais?
Gracias
<a href='ir.asp?http://www.ajoderseyaguantarse.com' target='_blank'>http://www.ajoderseyaguantarse.com...</a>

[Sir Matrix]

Saludos,

Para solucionar esta vulnerabilidad se puede almacenar los datos del formulario en variables y luego reemplazar, con la instrucción Replace, los caracteres que puedan afectar el script ASP (como la comilla simple ‘) por otros que resulten inofensivos. De esta forma, una consulta SQL segura puede ser:

&lt;%
variable1 = Request.Form(&quot;usuario&quot;) ‘Guardamos el envío en variables
variable2 = Request.Form(&quot;password&quot;)
ConsultaSQL=&quot;SELECT * FROM usuarios WHERE user= '&quot; + Replace(variable1, &quot;'&quot;, &quot;''&quot;) + &quot;' AND p_clave = '&quot; + Replace(variable2, &quot;'&quot;, &quot;''&quot;) + &quot;'&quot;
%&gt;

En este caso las comillas simples son reemplazadas por dos comillas, de manera que siempre habrá un número par de comillas en la variable, evitando de esta forma una intervención en el script.

[splig]

No me funciona. A ver. Soy novato y tal vez (seguramente) me equivoque, pero pq consultamos la base de datos si no se habrá aconseguido meter los campos con '? No seria algo relacionado con modificar el Request.Form? (digo yo...)
Gracias
<a href='ir.asp?http://www.ajoderseyaguantarse.com' target='_blank'>http://www.ajoderseyaguantarse.com...</a>

[bakanzipp]

lo que quieres es:

1.controlar el ingreso de un dato con comilla simple
2.consultar a la base de datos ingresando una comilla como dato de entrada de consulta

what´s is the problem?

[splig]

Mira, si pongo comilla simple me da error pq no puede entrar en la base de datos. Entonces quiero que antes de meter los datos en la base de datos compruebe que en el formulario de envio no hay ninguna de esas comillas y si la hay cambiarla, por ejemplo por &quot;
<a href='ir.asp?http://www.ajoderseyaguantarse.com' target='_blank'>http://www.ajoderseyaguantarse.com...</a>

[bakanzipp]

entonces es al ingresar...
haz lo que dice Sir...pasa el valor a una variable y utiliza el Replace...

Código:

  
<%
variable=Request.form("dato_a_ingresar")
Entrada=Replace(variable,"'", "''") 

SQL=Insert into tabla values('" & entrada & "');"
Set Registro=Conexion.execute(SQL);
%>

[splig]

OK. Ya me ha funcionado. Muchas gracias!
<a href='ir.asp?http://www.ajoderseyaguantarse.com' target='_blank'>http://www.ajoderseyaguantarse.com...</a>