如何阅读 ASP 源码：从页面结构到数据库连接

阅读 ASP 源码，最重要的不是先记住所有 VBScript 语法，而是弄清楚一次请求如何经过 IIS、ASP 页面和数据库，再变成浏览器收到的响应。沿着这条路径阅读，通常比逐行猜代码快得多，也更容易发现输入校验、数据库访问和输出编码方面的问题。

本文讨论的是经典 ASP（Classic ASP），主要使用 VBScript 和 ADO。它常见于较早建设的 IIS 网站、内部管理系统和遗留业务应用。经典 ASP 页面通常以 .asp 结尾，由 IIS 在服务器端执行。它不是 ASP.NET：两者的运行时、项目结构和编程模型都不同。若源码出现 .aspx、C#、Razor 或 Web Forms，应按 ASP.NET 项目处理，本文的 VBScript 示例不能直接套用。

一、先确定项目类型和运行环境

拿到一份源码时，先看扩展名、目录结构和部署说明。.asp 文件中常见 VBScript 语法，例如 Dim、Set、Response.Write 和 Server.CreateObject；页面也可能混合 HTML 与服务器端代码。数据库连接信息可能保存在单独的配置文件、公共包含文件，或页面内的连接字符串中。

经典 ASP 通常运行在 Windows 的 IIS 上。能否执行不仅取决于源码，还取决于 IIS 是否启用了 ASP 功能、应用程序池的位数、安装的 OLE DB 驱动、数据库权限及文件系统权限。把一个 .asp 文件直接用浏览器打开，只会显示文件内容或触发下载，不会在本机执行服务器端代码。

阅读前建议先回答四个问题：

• 当前页面由哪个 URL 访问，是否经过登录或其他入口页面？
• 项目使用哪种数据库、哪种 ADO Provider，连接配置存放在哪里？
• 页面读哪些请求参数，又把结果输出到哪里？
• 有哪些公共包含文件负责会话检查、数据库连接、布局或错误处理？

注意不要在生产环境中通过浏览器公开源码，也不要为了排查问题而直接公开配置文件。连接字符串、账号、密码、内部路径和调试信息都可能属于敏感信息。

二、理解一个 ASP 页面是怎样执行的

经典 ASP 页面由服务器解释执行。浏览器发出 HTTP 请求，IIS 将请求交给 ASP 运行时；页面中的服务器端语句先执行，<% ... %> 外的 HTML 则作为响应内容的一部分输出。执行过程中，ASP 可以读取请求、调用业务逻辑、访问数据库并写出 HTML。浏览器只会收到最终响应，不会收到已经执行过的 VBScript 源码。

最简单的页面如下。示例中的 ASP 标记用 HTML 实体显示，因此可直接作为 HTML 教程内容发布；实际保存为 .asp 文件时，应将实体还原成对应的尖括号字符。

<%
Option Explicit
Response.CodePage = 65001
Response.Charset = "utf-8"
%>
<!doctype html>
<html lang="zh-CN">
<head>
  <meta charset="utf-8">
  <title>示例页面</title>
</head>
<body>
  <p>服务器时间：<%= Now() %></p>
</body>
</html>

<% ... %> 包住一段服务器端代码；<%= 表达式 %> 是简写形式，相当于把表达式结果写入响应。它不会自动为 HTML 做安全编码。示例中的 Now() 返回服务器时间，因此显示的时区和时间取决于服务器设置，而不是访问者电脑的时钟。

Option Explicit 要求变量在使用前通过 Dim 等方式声明。它能帮助发现拼写错误造成的意外变量，但不会自动完成类型校验或输入验证。对于 VBScript，变量类型通常在运行时确定。新建页面时应尽量在页面顶部启用它；维护旧页面时，也要先留意是否存在依赖隐式变量的代码。

三、按页面结构建立阅读顺序

读复杂页面时，可以先跳过细节，画出一条简化的执行链：

1. 入口与依赖：页面是否包含公共文件，是否要求特定会话或身份？
2. 输入：参数从 Request.QueryString、Request.Form、Cookie 还是服务器变量读取？
3. 处理：是否有条件分支、循环、字段转换、权限检查或业务规则？
4. 数据访问：何时打开连接，执行什么 SQL，结果如何处理？
5. 输出：数据是写入 HTML、重定向到其他页面，还是以其他格式返回？
6. 清理：记录集、命令和连接是否关闭并释放？异常是否被妥善处理？

经典 ASP 常用 <!--#include file="..."--> 引入公共文件。被包含文件里的代码会成为页面的一部分，因此应检查它实际定义了什么：是否声明数据库连接函数、输出公共导航、设置字符集，或执行会话验证。相对路径容易因文件所在目录不同而产生混淆；file 通常按当前文件的相对位置理解，virtual 则按网站虚拟路径理解。修改包含关系时，要同时核对部署后的目录结构。

可用下面的命令在源码目录中初步定位入口、数据库和输入输出点。命令适用于常见的 PowerShell 环境；没有安装 rg 时，可以用编辑器的全局搜索替代。

rg -n -i "include|request\\.|response\\.|Server\\.CreateObject|ADODB|ConnectionString|Execute|Open" .

搜索结果只是线索，不是完整调用图。连接对象可能在包含文件中创建，SQL 可能由多个字符串拼接而成，页面也可能通过重定向进入下一页。遇到看似“没有数据库代码”的页面，应继续追踪函数调用和包含关系。

四、输入、变量与响应输出

经典 ASP 可从不同的请求集合中取值。通常将查询字符串用于筛选、分页等可分享的读取条件，将表单集合用于提交的数据。Cookie、请求头和服务器变量也属于输入面，不能因为它们不是表单字段就默认可信。若同一个键出现在多个集合中，直接使用宽泛的 Request("id") 会让来源不够明确；阅读和编写代码时，优先明确写成 Request.QueryString("id") 或 Request.Form("id")。

下面的页面读取一个查询字符串参数，并只接受正整数。代码可作为独立的经典 ASP 页面运行。它展示了输入检查和 HTML 输出编码，但没有数据库依赖。

<%
Option Explicit
Response.CodePage = 65001
Response.Charset = "utf-8"

Dim rawId, itemId, message
rawId = Trim(Request.QueryString("id"))
message = ""

If Len(rawId) = 0 Then
  message = "请提供记录编号。"
ElseIf Not IsNumeric(rawId) Then
  message = "记录编号格式无效。"
ElseIf CDbl(rawId) < 1 Or CDbl(rawId) <> Fix(CDbl(rawId)) Then
  message = "记录编号必须是正整数。"
Else
  itemId = CLng(rawId)
  message = "收到记录编号：" & CStr(itemId)
End If

Function HtmlEncode(value)
  HtmlEncode = Server.HTMLEncode(CStr(value))
End Function
%>
<!doctype html>
<html lang="zh-CN">
<head>
  <meta charset="utf-8">
  <title>参数检查</title>
</head>
<body>
  <p><%= HtmlEncode(message) %></p>
</body>
</html>

参数验证应贴合字段的业务类型：编号可以要求正整数，邮箱可以按业务规则检查格式，日期则要明确允许的格式和时区。验证并不等于安全编码；即便字符串通过业务校验，输出到 HTML 时仍要根据输出上下文编码。Server.HTMLEncode 适合编码普通 HTML 文本，但不能当作 JavaScript 字符串、URL 或 CSS 的通用编码器。不同输出上下文需要相应的编码策略。

数值转换也要谨慎。IsNumeric 与 CDbl 会受 VBScript 类型转换规则和服务器区域设置影响，特别是小数点、千位分隔符以及日期格式。对于仅允许整数的字段，应采用清晰、严格的格式规则，再做范围检查；示例用于说明基本流程，不适合直接代替复杂业务的统一校验组件。

五、追踪数据库连接和查询

经典 ASP 常通过 ADO 访问数据库。典型链路是：创建 ADODB.Connection，设置连接字符串并打开连接；创建 ADODB.Command 或直接调用连接方法执行 SQL；需要读取行集时使用 ADODB.Recordset；最后关闭并释放对象。

连接字符串取决于数据库和已安装的 Provider。下面以 SQL Server 和 Microsoft OLE DB Driver 为例，采用 SQL Server 身份验证写法展示结构。生产环境应将凭据保存在受保护的配置或秘密管理机制中，不要把真实密码提交到源码仓库。驱动名称、版本和连接选项要以部署环境已安装的驱动文档为准；如果 IIS 应用程序池和驱动的 32/64 位架构不匹配，创建连接时可能失败。

<%
Dim conn, connectionString
Set conn = Server.CreateObject("ADODB.Connection")

connectionString = _
  "Provider=MSOLEDBSQL;" & _
  "Server=localhost;" & _
  "Database=LegacyDemo;" & _
  "UID=app_reader;" & _
  "PWD=从受保护配置读取;" & _
  "Encrypt=Yes;"

conn.Open connectionString

' 在这里执行数据库操作

conn.Close
Set conn = Nothing
%>

示例中的 localhost、数据库名和账号只是占位内容，不能保证在任意机器上直接连接成功。若使用 Windows 集成身份验证，连接字符串和数据库授权方式会不同；实际连接通常以运行 IIS 应用程序池的身份进行。启用加密与证书验证的具体行为也与驱动版本和服务器配置有关，不能仅凭一段连接字符串推断部署环境已经正确配置了 TLS。

阅读连接代码时，重点核对这些信息：Provider 名称、服务器地址、数据库名称、身份验证方式、连接打开的位置，以及连接对象是否跨页面或跨请求共享。页面级对象通常应在请求结束前关闭。不要假定连接池就意味着可以不释放 ADO 对象。

六、用参数化查询读取数据

绝不要把未经处理的请求值直接拼接进 SQL。拼接输入可能造成 SQL 注入，也可能因引号、字符集和类型转换产生错误。正确做法是把 SQL 结构与数据值分开，使用 ADODB.Command 参数化查询。

下面的示例假定 SQL Server 中存在表 Products，且 ProductId 为整数主键、Name 为可显示的文本字段。它展示了从查询字符串读取编号、参数化查询、输出编码和资源清理。示例假设已有可用的 conn 连接对象；部署时应将连接初始化放在受保护的配置或公共数据访问代码中。

<%
Option Explicit
Response.CodePage = 65001
Response.Charset = "utf-8"

Const adCmdText = 1
Const adParamInput = 1
Const adInteger = 3

Dim rawId, productId, cmd, rs, found
rawId = Trim(Request.QueryString("id"))
found = False

If Len(rawId) = 0 Or Not IsNumeric(rawId) Then
  Response.Status = "400 Bad Request"
  Response.Write "参数无效。"
  Response.End
End If

If CDbl(rawId) < 1 Or CDbl(rawId) <> Fix(CDbl(rawId)) Then
  Response.Status = "400 Bad Request"
  Response.Write "参数无效。"
  Response.End
End If

productId = CLng(rawId)

Set cmd = Server.CreateObject("ADODB.Command")
Set cmd.ActiveConnection = conn
cmd.CommandType = adCmdText
cmd.CommandText = "SELECT ProductId, Name FROM Products WHERE ProductId = ?"
cmd.Parameters.Append cmd.CreateParameter( _
  "pProductId", adInteger, adParamInput, , productId)

Set rs = cmd.Execute()

If Not rs.EOF Then
  found = True
End If
%>
<!doctype html>
<html lang="zh-CN">
<head>
  <meta charset="utf-8">
  <title>商品查询</title>
</head>
<body>
<%
If found Then
  Response.Write "<h1>" & Server.HTMLEncode(CStr(rs("Name"))) & "</h1>"
Else
  Response.Write "<p>没有找到该商品。</p>"
End If

If Not rs Is Nothing Then
  If rs.State <> 0 Then rs.Close
End If
Set rs = Nothing
Set cmd = Nothing

If Not conn Is Nothing Then
  If conn.State <> 0 Then conn.Close
End If
Set conn = Nothing
%>
</body>
</html>

示例中的 ? 是位置参数占位符。使用 ADO 时，参数的具体绑定规则与 Provider 有关；为兼容常见 OLE DB 用法，应按 SQL 中问号出现的顺序追加参数，不要只依赖参数名称。参数类型应与数据库列类型匹配；字符串参数还要指定合适的长度。参数化查询保护的是数据值，不会自动把表名、列名或排序方向变成安全参数。若需要动态排序，应将客户端输入映射到服务端预先允许的列名集合，而不是直接拼接输入文本。

常量 adCmdText、adParamInput 和 adInteger 在示例中以数值形式声明，是为了让代码不依赖外部常量文件。生产项目也常通过包含 ADO 常量文件来使用有名称的常量；如果使用该方式，要确认文件路径和部署内容正确，并避免同一常量重复定义。

Response.End 会立即结束当前 ASP 页面执行。示例在参数错误时先返回状态码再停止运行，因此不会继续执行查询。实际应用可以把错误状态和页面模板统一处理，但必须确保结束后不会继续访问尚未设置的对象。

七、写入数据时的事务与校验

写入操作除了参数化，还应明确验证规则、权限和事务边界。例如插入用户提交的订单时，不能仅凭浏览器传来的价格、用户编号或权限标志作决定；这些信息应由服务端从可信业务状态中计算或核验。多条必须共同成功的更新，可以考虑使用数据库事务，但事务应尽可能短，并在失败路径中回滚。

一个参数化更新的核心写法如下。它只展示 ADO 命令部分，前提是 conn 已经打开；数据库列及类型要按实际表结构调整。

<%
Const adCmdText = 1
Const adParamInput = 1
Const adInteger = 3
Const adVarWChar = 202

Dim updateCmd, affectedRows, newName, productId
newName = Trim(Request.Form("name"))
productId = 12  ' 实际应用中应经过严格校验，并执行对象级授权检查

Set updateCmd = Server.CreateObject("ADODB.Command")
Set updateCmd.ActiveConnection = conn
updateCmd.CommandType = adCmdText
updateCmd.CommandText = "UPDATE Products SET Name = ? WHERE ProductId = ?"
updateCmd.Parameters.Append updateCmd.CreateParameter( _
  "pName", adVarWChar, adParamInput, 100, newName)
updateCmd.Parameters.Append updateCmd.CreateParameter( _
  "pProductId", adInteger, adParamInput, , productId)

updateCmd.Execute affectedRows
Set updateCmd = Nothing
%>

100 表示示例参数长度，并不代表所有数据库列都应设置为 100。必须按照字段定义和字符长度语义调整。示例中的固定编号仅为占位，不应被理解成完整授权实现。修改操作通常还需要检查当前登录用户是否有权修改这条具体记录，并考虑请求伪造防护等 Web 安全措施。

八、常见错误与排查顺序

1. 页面显示 ASP 源码，或浏览器下载文件

通常是请求没有交给配置正确的 IIS ASP 运行时处理。确认 IIS 已启用经典 ASP 功能、站点绑定和应用程序映射正确，并通过 IIS 提供的 URL 访问。不要用浏览器直接打开本地文件，也不要把源码部署到不可信的静态文件服务器上。

2. 中文乱码

字符集问题可能同时涉及文件编码、Response.CodePage、Response.Charset、HTML 的 meta charset、数据库列类型和 Provider 的转换。只设置页面的 meta 标签，不一定能解决服务器输出编码问题。统一项目使用的编码，并检查源文件是否以兼容方式保存。数据库文本字段、连接配置以及旧数据本身也可能已经使用其他编码。

3. “对象必需”或对象未设置

VBScript 中对象变量一般通过 Set 赋值。检查 Set conn = ...、Set rs = ... 是否执行，创建对象和打开连接是否成功，以及异常处理是否吞掉了原始错误。调用 rs("Name") 前，应确认记录集对象存在且有当前记录。

4. 数据库连接失败

按顺序核对 Provider 是否安装、驱动位数是否与应用程序池匹配、服务器和数据库名称是否正确、IIS 进程身份是否有权限、网络和防火墙是否允许连接，以及认证信息是否有效。错误信息可能暴露服务器名或账号细节，不应直接显示给普通访客。

5. 参数化查询报参数数量或类型错误

检查 SQL 中问号的数量、参数追加顺序、ADO 参数类型和长度。若字段允许空值，还要明确如何传递数据库 NULL，不能简单把空字符串当作 NULL。不同 Provider 的行为可能不同，应以目标 Provider 的 ADO 文档和实际测试为准。

6. 输出出现脚本或 HTML 被执行

检查来自请求、数据库、Cookie 和其他外部来源的文本是否在输出时按上下文正确编码。存入数据库不代表内容可信；过去保存的数据也可能是攻击者提交的。HTML 文本节点、属性值、JavaScript、CSS 和 URL 的编码规则不同，不能用一次 HTML 编码解决所有上下文。

九、错误处理、权限和部署边界

经典 ASP 项目常见 On Error Resume Next。它会在运行时错误后继续执行，只有代码显式检查 Err.Number 才能知道刚才是否失败。若全页开启却不检查错误，程序可能在对象未创建、连接未打开的情况下继续运行，产生更难排查的二次错误。确实需要局部容错时，应缩小影响范围，执行后立即检查错误，并在处理完成后清除或恢复错误状态。

不要把数据库异常、连接字符串、物理路径、堆栈或 SQL 语句原样返回给访客。对外返回简洁、稳定的错误信息；详细原因写入有访问控制的日志，并确保日志内容也不会泄露口令或个人数据。生产环境应关闭不必要的详细错误页面和调试输出。

连接成功也不表示访问控制正确。数据库账号应遵循最小权限原则：只授予页面实际需要的表和操作权限。读取页面使用的账号通常不需要数据库管理员权限。站点目录、配置文件和日志也要设置合适的 IIS 与 Windows 文件权限；源代码仓库不应保存真实凭据。

此外，参数化查询只解决 SQL 数据值被当作 SQL 语法解释这一类风险，不会自动解决跨站脚本、身份验证、越权访问、CSRF、弱密码、未加密传输或业务逻辑漏洞。安全审查应把这些边界分开检查，不要将“用了参数化查询”当成整个页面安全的证明。

十、形成稳定的源码阅读方法

第一次接触一套经典 ASP 系统，可以按以下顺序推进：

1. 从 IIS 部署目录和入口 URL 找到页面，区分经典 ASP 与 ASP.NET。
2. 查出所有 include 文件，弄清会话检查、布局和数据访问代码在哪里。
3. 为页面标出请求来源、参数名称、验证方式和响应输出位置。
4. 追踪连接字符串、Provider、命令和记录集，确认 SQL 与参数的对应关系。
5. 沿着正常、无结果、无效输入和数据库失败几条路径检查资源释放与错误处理。
6. 在隔离的测试环境运行页面，使用虚构数据验证行为，不用生产凭据试验。

读源码时，先抓住“输入从哪里来、数据在哪里变形、结果输出到哪里”，再研究每个条件分支和 VBScript 细节。对经典 ASP 来说，这条方法尤其有效：页面、HTML、SQL 和服务器端逻辑经常写在同一个文件里，表面上看起来紧密混杂，实际上仍然可以按请求流、数据流和资源生命周期拆解。

最后，维护旧系统时要区分“能运行”和“适合照搬”。本文的示例用于解释经典 ASP 与 ADO 的工作方式；Provider、字段类型、字符集和安全策略都应结合真实环境核实。对于新项目，通常应评估仍在支持的现代 Web 技术和数据库访问方案；对于必须维护的遗留系统，则应先补齐参数化查询、输出编码、最小权限、错误处理和部署配置，再逐步改善结构。