SQL-инъекция на классических ASP-страницах с параметризованными запросами: текстовые поля

Question

Я параметризовал свои запросы в своем приложении Classic ASP, но не уверен, нужно ли очищать или очищать свободные текстовые поля или достаточно ли параметризация для предотвращения внедрения.

Answer 1

Если вы используете параметризованные запросы, вы защищены от атак с использованием SQL-инъекций.

Но не для XSS-атак ;один пользователь мог вставить HTML-контент (например, теги <script>, <object>) в вашу базу данных, а на какой-то странице другой пользователь мог выполнить этот потенциально вредоносный код.

Answer 2

Не все хранящиеся в sql процы безопасны для инъекций

http://palisade.plynt.com/issues/2006Jun/injection-stored-procedures/