防止SQL注入是确保Web应用程序安全的关键部分。在ASP（Active Server Pages）中，使用参数化查询是一种有效的方法来防止SQL注入攻击。以下是一些关键步骤和最佳实践：
1. 使用参数化查询
参数化查询是一种将SQL语句与数据分开的方法，从而防止恶意用户通过输入数据来修改SQL语句的逻辑。
示例代码：
Dim conn As New ADODB.Connection
Dim cmd As New ADODB.Command
conn.Open "Provider=SQLOLEDB;Data Source=YourDataSource;Initial Catalog=YourDatabase;User ID=YourUsername;Password=YourPassword;"
cmd.CommandText = "SELECT * FROM Users WHERE Username = @username AND Password = @password"
cmd.Parameters.AddWithValue("@username", Request.Form("username"))
cmd.Parameters.AddWithValue("@password", Request.Form("password"))
Dim rs As New ADODB.Recordset
rs.Open cmd
' 处理结果集
2. 使用存储过程
存储过程也可以用来防止SQL注入，因为它们在数据库服务器上执行，而不是在ASP页面上执行。
示例代码：
Dim conn As New ADODB.Connection
Dim cmd As New ADODB.Command
conn.Open "Provider=SQLOLEDB;Data Source=YourDataSource;Initial Catalog=YourDatabase;User ID=YourUsername;Password=YourPassword;"
cmd.CommandText = "EXEC sp_GetUserInfo @username = ?, @password = ?"
cmd.Parameters.AddWithValue("@username", Request.Form("username"))
cmd.Parameters.AddWithValue("@password", Request.Form("password"))
Dim rs As New ADODB.Recordset
rs.Open cmd
' 处理结果集
3. 输入验证
在处理用户输入之前，进行严格的输入验证，确保输入符合预期的格式和类型。
示例代码：
If Not IsNumeric(Request.Form("username")) Then
Response.Write "Invalid username."
Exit Sub
End If
If Not IsNumeric(Request.Form("password")) Then
Response.Write "Invalid password."
Exit Sub
End If
4. 使用ORM工具
对象关系映射（ORM）工具如Entity Framework、Dapper等可以自动处理参数化查询，减少手动编写SQL语句的风险。
示例代码（使用Entity Framework）：
using (var context = new YourDbContext())
{
var user = context.Users.FirstOrDefault(u => u.Username == Request.Form["username"] && u.Password == Request.Form["password"]);
if (user != null)
{
// 处理用户信息
}
else
{
// 处理用户不存在的情况
}
}
5. 最小权限原则
确保数据库连接使用的账户具有最小的必要权限，这样即使发生SQL注入攻击，攻击者也无法执行危险的操作。
6. 定期更新和打补丁
保持ASP.NET、数据库管理系统和其他相关软件的更新，及时应用安全补丁，以防止已知漏洞被利用。
通过遵循这些最佳实践，可以显著降低ASP应用程序受到SQL注入攻击的风险。