nicht angemeldet
Hi,
der Vorteil von Parametern (der übrigens nicht auf ASP beschränkt ist ;-) ) liegt darin, dass du keinen String konkatenierst, sondern die Funktion des Datenbankadapters benutzt, "böse" Parameter zu überprüfen. Da werden dann z.B. Hochkommata richtig escapet, damit ein Injection-String wie '; SELECT password FROM user-- abgefangen wird.
Wenn du natürlich Eingabefelder auf der Seite hast, wo der eingegebene String anderen Usern angezeigt wird, musst du selbst darauf achten, dass dort kein böser Code reinkommen kann. Das läuft dann aber nicht mehr unter SQL Injection, denn dann sind die Eingaben ja für SQL gesehen korrekt.
Der Yeti