去年帮一个做五金批发的站源朋友看他的进销存系统，打开源码目录我愣了一下——满屏的代码 .asp 文件，最近修改日期停在2016年。站源数据库连接字符串还明晃晃写在 conn.asp 里，代码IIS 上跑着 Access。站源他说这套东西花了三千块找人做的代码，用了八年，站源除了偶尔卡死重启一下，代码没出过大毛病。站源

这就是代码 ASP 商务网站的真实处境。它不是站源技术圈讨论的热点，但在中小企业的代码服务器里活得好好的。

它到底长什么样

一套典型的站源 ASP 商务网站源代码，目录结构通常简单到不需要文档。代码根目录下几个核心文件就能撑起整个站：

<% Set conn = Server.CreateObject("ADODB.Connection") conn.Open "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath("data/shop.mdb") %>

上面这段代码，站源几乎出现在每一个 ASP 商务站里。没有配置文件，没有环境变量，路径硬编码。你说它不安全，确实。但它能跑，而且跑得很快——Access 在数据量不超过几十万条时，响应速度比很多人想象中好得多。

商品展示页一般是 products.asp，接收一个 category_id 参数，拼 SQL 查询，循环输出 HTML 表格。购物车用 Session 存数组，下单逻辑写在 order.asp 里，支付接口直接嵌在页面顶部。整个流程没有任何框架，全是过程式代码，一行接一行往下写。

为什么还在用

我见过一个做劳保用品的站，日订单大概两百多，跑在阿里云最便宜的 Windows 虚拟主机上，一年成本不到一千块。老板自己会改代码——不是程序员那种改，就是打开 Dreamweaver，把首页的促销文字换掉，把新产品图片路径替换一下。这种“可维护性”是 PHP 或 Java 方案给不了的。

还有一层原因：存量太大。2005到2012年间，国内大量建站公司用 ASP 给中小企业做官网和商城，模板满天飞。那些站现在还在运行，源码在网上随便搜“ASP 商城源码”就能下到几十套。你打开看，代码风格惊人地相似，连表结构都差不多——products、orders、users、admin，四张表走天下。

代码里的坑

最要命的是 SQL 注入。很多老 ASP 站直接这样写：

sql = "SELECT * FROM products WHERE id=" & request("id")

连引号都不加。稍微懂点安全的人都知道这意味着什么。另一个问题是上传漏洞，文件上传功能往往只检查扩展名，改成 .asp;.jpg 就能绕过。还有 Session 超时设置过长、错误信息直接输出到页面、后台默认密码 admin/admin 等等。

但话说回来，这些站大多访问量不大，黑客懒得盯。真正被黑的，往往是那些突然有了流量又没打补丁的。

如果你要接手一套

先看数据库。Access 的话，把 .mdb 文件下载下来，用 Office 打开看看表结构和数据量。如果超过五十万条记录，建议迁移到 SQL Server，ASP 改连接字符串就行，代码基本不用动。

然后查上传目录权限。IIS 里把 upload 文件夹的执行权限去掉，只留写入。再搜一遍源码里有没有 request 直接拼 SQL 的地方，有的话加个 Replace 过滤单引号，虽然不彻底，但能挡掉大部分脚本小子。

最后，别想着重构。ASP 商务网站的价值在于它已经稳定运行了很多年，你重写一遍的成本远高于修修补补。除非老板愿意出钱换新系统，否则就让它继续跑着。我见过最久的一套 ASP 商城，从2008年上线到现在，中间只换过一次服务器，代码一行没改。

这东西就像老式柴油机——噪音大、排放差、技术落后，但它不挑油，好修，配件便宜。在特定场景下，它仍然是最务实的选择。