Nie wpadaj w pułapkę interpolacji ciągów! To nie jest bezpieczne.
Możesz używać prawdziwych parametrów zapytania SQL nawet w ASP Classic.
Nie jestem programistą ASP, ale znalazłem ten blog z jasnym przykładem użycia obiektu ADODB.Command do sparametryzowanego zapytania SQL i powiązania wartości z parametrami przed wykonaniem.
http://securestate.blogspot.com/2008 /09/classic-asp-sql-injection-prevention_30.html
Zobacz także to pytanie SO, aby uzyskać więcej przykładów użycia nazwanych parametrów:
ASP Klasyczny nazwany parametr w zapytaniu sparametryzowanym:należy zadeklarować zmienną skalarną
