אבטחה מפני xss &sql injection

אני לא מבין למה את מוחק תווים
הנה פונקצייה בASP שאני משתמש כשצריך לקבל טקסט ולהכניס אל תוך SQL

function clr(str)
temp = str
temp = replace(temp,"'","'")
temp = replace(temp,chr(34),""")
clr = temp
end function

אני מחליף את התו ' ואת התו " למקביל שלהם בתווי HTML מיוחדים. התוו הזה מפוענח על ידי הדפדפן כתו ' או ".
כשצריך להכניס טקסט לSQL אין מה לפחד מתווי >< כיוון שזה נכנס בתוך המחרוזת.
וכשצריך להכניס ערך מספרי לSQL חשוב לוודא שהערך הוא מספרי ולא מלא באופרטורים כדוגמת: < + > = ועוד… אתה עושה תנאי

if not isnumeric(str) then str = 0

באתרים שבניתי יש אפשרות לשמות משתמש עם כל הסימנים במקלדת. חבל להגביל את הגולש.

ב XSS זה אותו עיקרון
יש שני סוגי תוכן:
1. טקסט מת. טקסט שהגולשים מזינים ואין אפשרויות עיצוב.
2. טקסט עשיר. אתה נותן לגולש אפשרויות עריכת הטקסט כמו באתרי בלוגים ופורומים מתקדמים.

במקרה של טקסט מת אתה ממיר את הסימנים <> למקביל שלהם בתוויו HTML מיוחדים.
ואז גולש שיכניס תגיות HTML סקריפט בעצם הטקסט שלו יוצג כתגיות כלומר הדפדפן לא יעבד את התגיות.

במקרה של טקסט עשיר זה יותר מורכב כי אתה צריך לאמת את התגיות בצד שרת ולבדוק שאין תגיות מסוכנות. יש לזה פונקצייה בPHPH אבל בניתי לזה בASP אתה פשוט מריץ לולאה לפי הסימנים <>

יש אפשרות
אם תכניס את הטקסט לא דרך SQL INSERT או UPDATE אלא דרך הפונקציות הקיימות באובייקט הרקורדסט (לא כ"כ מומלץ).

יש על זה מאמר במדור ASP באתר. זה נקרא דרכים להימנע מבעיות גרשיים.

הרעיון בהחלפת תווים בעייתיים הוא ביצירת פונקציות מעטפת כמו זו שהבאתי לך שממירות טקסט בעייתי לקוד HTML ופונקציות הפוכות שממירות את הקוד HTML לתווים הבעייתיים. אחרי שמתרגלים לעבודה בדרך הזו אתה זוכר שכל כניסה לרדורדסט עוברת דרך פונקציית ניקוי וכל יציאה שחשוב בה התווים האמיתיים עוברת דרך פונקציית שיחזור תווים.

זו הדרך איתה אני עובד ואני חושב שזה הדרך הטוב ביותר.

בהצלחה.