<p>ASP는 알지도 못합니다만, 그럼에도 불구하고 잠깐 본 것만으로 몇 가지 이야기는 할 수 있겠군요.<br /><br /></p>

<p>1. 생성된 strSql 문자열을 직접 찍어서 확인해 보셨나요? 그리고 그걸 DB 콘솔에 직접 넣어 보셨나요?<br /><br /></p>

<p>2. strSql 문자열을 만들 때 같은 변수를 계속 재할당해서 쓰고 있는데, 기본적으로 문자열은 불변성 객체(immutable object)이기 때문에 이런 식으로 문자열을 만들면 성능이 상당히 떨어집니다. 찾아보니 ASP 또한 VBA처럼 코드가 길어지면 언더스코어(_)를 써서 줄을 나눌 수 있다고 하니, 이것과 앰퍼샌드(&amp;)를 조합해서 한번에 strSql 문자열을 만드는 것이 성능에 좋을 것입니다.<br /><br /></p>

<p>3. 보아하니 사용자의 웹브라우저에서 받아들인 폼 데이터를 그대로 SQL문으로 만들어 집어넣는 것 같은데, 이건 보안상 굉장히 위험합니다. 만약에 누군가가 폼 데이터에 단순 문자열 대신 SQL문을 집어넣어 버린다면, 그게 바로 DB에서 실행되어 버리겠죠. 이걸 가리켜 SQL injection 공격이라고 하는데, 이걸 막으려면 웹브라우저에서 날아온 폼 데이터를 그대로 쓸 것이 아니라 뭔가 이상한 문자가 있으면 그걸 DB에 넣기 전에 없애거나 하는 처리를 해야 합니다. 이걸 무결 처리(sanitize)라고 하지요.</p>