Jeg er ved at lave en side, hvor menuen blive dannet fra en database.
I denne menu bliver alle punkter kaldet til en pageref fil. koden er
her:
pageref.asp:
<%
SET Conn = Server.CreateObject("ADODB.Connection")
Conn.Open "DSN=jagt"
Dim MitValg
MitValg = Request.QueryString("page")
sql = "Select * from menu where id=" &MitValg
set rs = Conn.Execute(sql)
if rs("link") <> "" then
link = "default.asp?page=" &rs("link")
else
link = "default.asp?page=notfound"
end if
response.redirect link
conn.close
set Conn = nothing
%>
Det virker også fint nok, men hvis man forsøger at hijacke linien, og
skrive et ugyldigt pageref nr., så fejler siden selvfølgelig p.gr.a.
MitValg argumentet i sql strengen.
Men hvordan garderer man sig imod det?
for en god ordens skyld tror jeg lige jeg paster menu.asp:
<%
SET Conn = Server.CreateObject("ADODB.Connection")
Conn.Open "DSN=jagt"
sql = "Select * from menu order by id"
Set rs = Conn.Execute(sql)
%>
<%
Do while not rs.eof
%>
<p class=<%=rs("class")%>><a
href="pageref.asp?page=<%=rs("id")%>"><%=rs("menu")%></a>
<%
rs.movenext
loop
conn.close
set Conn = nothing
%>
Class er defineret i databasen.
Martin_P