Input med værdi indeholdende aprostof

Thread View: dk.edb.internet.webdesign.serverside.asp

4 messages

[T] Back to Threads [V] Tree View [G] Group Articles

4 total messages Started by Jens Sun, 05 Feb 2012 21:31

#345

Author: Jens
Date: Sun, 05 Feb 2012 21:31

16 lines
2013 bytes

Jeg har følgende sætninger

hsupfktformand = rs("supfunktionformand")
Response.write "<input type='text' name='lformand' maxlength='40'
size='40' value='" & hsupfktformand & "' />"

og så længde indeholdet af hsupfktformand er "normalt" er alt godt.
Men hvis hsupfktformand indeholder et apostrof bliver alt efter
apostroffen ikke vist. Sikkert fordi inputsætningen tror, at value er
slut når den møder det andet apostrof.

Eksempler med indhold af supfktformand:

abc => abc
a'bc => a
'abc

Re: Input med værdi indeholdende aprostof

#347

Author: Philip Nunnegaard
Date: Tue, 07 Feb 2012 08:15

13 lines
1683 bytes

Jens skrev:

> Men hvis hsupfktformand indeholder et apostrof bliver alt efter
> apostroffen ikke vist. Sikkert fordi inputs�tningen tror, at value er
> slut n�r den m�der det andet apostrof.

Pr�v med en replace-s�tning og erstat aprostroffen med &#39;

hsupfktformand = rs("supfunktionformand")
hsupfktformand = replace(hsupfktformand,"'","&#39;")

-- 
Philip

Re: Input med værdi indeholdende aprostof

#349

Author: Jens
Date: Tue, 07 Feb 2012 21:16

16 lines
2086 bytes

On 7 Feb., 09:15, Philip Nunnegaard <nunnenos...@hitsurf.dk> wrote:
> Jens skrev:
>
> > Men hvis hsupfktformand indeholder et apostrof bliver alt efter
> > apostroffen ikke vist. Sikkert fordi inputsætningen tror, at value er
> > slut når den møder det andet apostrof.
>
> Prøv med en replace-sætning og erstat aprostroffen med &#39;
>
> hsupfktformand = rs("supfunktionformand")
> hsupfktformand = replace(hsupfktformand,"'","&#39;")
>
> --
> Philip

tak

Re: Input med værdi indeholdende aprostof

#184

Author: Stig Johansen
Date: Fri, 10 Feb 2012 09:29

24 lines
1966 bytes

Philip Nunnegaard wrote:

> Jens skrev:
> 
>> Men hvis hsupfktformand indeholder et apostrof bliver alt efter
>> apostroffen ikke vist. Sikkert fordi inputs�tningen tror, at value er
>> slut n�r den m�der det andet apostrof.
> 
> Pr�v med en replace-s�tning og erstat aprostroffen med &#39;
> 
> hsupfktformand = rs("supfunktionformand")
> hsupfktformand = replace(hsupfktformand,"'","&#39;")

NEJ det er ikke nok!
Man skal ALTID 'xmlencode' output, ellers er man s�rbar over for XSS.

Med 'xmlencode' mener jeg < > & " og '

Alternativt kan man bruge HTML encode, men det er lidt spild af ressourcer,
da det kun er de 5 tegn der er kritiske(n�dvendige).

-- 
Med venlig hilsen
Stig Johansen

Thread Navigation

This is a paginated view of messages in the thread with full content displayed inline.

Messages are displayed in chronological order, with the original post highlighted in green.

Use pagination controls to navigate through all messages in large threads.

Back to All Threads