ASP如何根据查询字符串参数指定并调用对应子过程

你原先直接拼接字符串写Call form & "_" & func的写法无法生效，因为VBScript不会自动将拼接得到的字符串识别为子过程名称，可通过以下两种方法实现需求：

前置操作：先获取并校验查询参数 #

首先从查询字符串中拿到参数并做基础合法性校验，避免恶意代码注入：

<%
' 获取查询字符串参数
Dim formName, funcName, subName
formName = Trim(Request.QueryString("form"))
funcName = Trim(Request.QueryString("func"))
subName = formName & "_" & funcName

' 正则校验参数仅包含允许的字符，也可以自行维护白名单列表校验
Dim regEx
Set regEx = New RegExp
regEx.Pattern = "^[a-zA-Z0-9_]+$"
regEx.IgnoreCase = True
If Not regEx.Test(subName) Then
    Response.Write "非法请求参数"
    Response.End
End If
%>

方案1：使用Execute执行动态代码 #

Execute函数可以直接执行字符串格式的VBScript代码，直接拼接调用语句即可：

<%
' 校验通过后执行对应子过程
Execute "Call " & subName

' 你的业务子过程
Sub customer_display
    Response.Write "执行customer_display逻辑"
End Sub
%>

方案2：使用GetRef获取过程引用（更安全） #

GetRef函数可以获取指定名称的子过程/函数的引用，如果对应名称的过程不存在会返回空值，可以先判断是否存在再调用，避免执行错误：

<%
Dim targetSub
Set targetSub = GetRef(subName)
If Not targetSub Is Nothing Then
    Call targetSub()
Else
    Response.Write "请求的功能不存在"
End If

' 你的业务子过程
Sub customer_display
    Response.Write "执行customer_display逻辑"
End Sub
%>

安全提醒：绝不可跳过参数校验直接执行用户传入的参数拼接的代码，否则会存在任意代码执行漏洞，严重危害站点安全。如果业务允许的过程数量有限，更推荐使用白名单校验，仅允许匹配白名单的过程名被调用。

内容的提问来源于stack exchange，提问作者Polymath