Classic ASP动态处理请求输入实现数据库记录添加方案咨询

适用于Classic ASP环境
这个需求完全可以实现，实现后不仅能大幅减少重复代码，还能顺带修复你原有写法里的SQL注入隐患，具体实现方案如下：

核心实现思路 #

不要逐行硬编码定义变量、拼接SQL片段，通过遍历表单集合+字段名白名单校验的方式，自动提取合法输入、过滤内容，再动态拼接SQL语句，全程不需要手动对应字段顺序。

步骤1：动态读取并过滤表单字段 #

注意不要直接遍历整个Request集合，要限定读取POST提交的表单数据，同时增加字段名规则校验，只保留符合Data+数字命名规则的字段，避免恶意构造的参数篡改数据库其他字段：

' 用字典存储合法字段和过滤后的值，方便后续拼接SQL
Dim fieldDict, formKey, pureFieldName, filteredValue
Set fieldDict = Server.CreateObject("Scripting.Dictionary")

' 仅遍历POST方式提交的表单字段
For Each formKey In Request.Form
    pureFieldName = CStr(formKey)
    ' 字段名校验：必须以Data开头，后续字符为纯数字
    If Left(pureFieldName, 4) = "Data" And IsNumeric(Mid(pureFieldName, 5)) Then
        ' 调用你原有cleanName函数做内容过滤
        filteredValue = cleanName(Request.Form(pureFieldName))
        ' 转义单引号，解决原有写法的SQL注入、内容含单引号报错的问题
        filteredValue = Replace(filteredValue, "'", "''")
        fieldDict.Add pureFieldName, filteredValue
    End If
Next

步骤2：动态生成并执行INSERT SQL #

遍历字典分别拼接列名片段和值片段，自动适配任意数量的合法字段：

Dim colSection, valSection, finalSql
' 没有合法字段就不执行数据库操作
If fieldDict.Count > 0 Then
    colSection = ""
    valSection = ""
    ' 逐字段拼接SQL片段
    For Each pureFieldName In fieldDict.Keys
        colSection = colSection & "[" & pureFieldName & "],"
        valSection = valSection & "'" & fieldDict(pureFieldName) & "',"
    Next
    ' 移除片段末尾多余的逗号
    colSection = Left(colSection, Len(colSection) - 1)
    valSection = Left(valSection, Len(valSection) - 1)
    ' 组合成最终SQL语句
    finalSql = "INSERT INTO Scores (" & colSection & ") VALUES (" & valSection & ")"
    ' 执行写入
    dbConnection.Execute(finalSql)
End If

' 释放对象
Set fieldDict = Nothing

注意事项 #

• 如果对安全性要求更高，可以把上述拼接值的逻辑改成参数化查询：拼接SQL时值的位置统一用?占位，再通过ADODB.Command对象逐字段追加参数，能彻底避免SQL注入风险，适配逻辑和上述代码完全一致。
• 字段名校验规则必须保留，绝对不能直接把所有表单字段不加筛选就拼入SQL，否则攻击者可以构造参数篡改表内的敏感字段。
• 如果后续需要实现UPDATE操作，只要调整SQL拼接逻辑，遍历字典生成[字段名]='字段值'的赋值片段，搭配对应的WHERE条件即可，同样不需要逐行硬编码字段。
• 这套逻辑可以自动适配任意数量的Data类字段，不管是64个还是后续随玩家数量增长到更多，后端代码都不需要调整。

内容的提问来源于stack exchange，提问作者anon