如何使用 ColdFusion 防止 SQL 注入 [英] How do I prevent SQL injection with ColdFusion

问题描述

在使用 ColdFusion 时如何防止 SQL 注入?我对语言/框架很陌生.

How do I prevent SQL injection when it comes to ColdFusion? I'm quite new to the language/framework.

这是我的示例查询.

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = #url.id#
</cfquery>

我认为传入 url.id 是一种风险.

I see passing in url.id as a risk.

推荐答案

为你的 id 使用 <cfqueryparam> 标签:
http://www.adobe.com/livedocs/coldfusion/6.1/htmldocs/tags-b20.htm

Use a <cfqueryparam> tag for your id:
http://www.adobe.com/livedocs/coldfusion/6.1/htmldocs/tags-b20.htm

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = 
     <cfqueryparam value = "#url.id#"
        CFSQLType = "CF_SQL_INTEGER">
</cfquery>

这篇关于如何使用 ColdFusion 防止 SQL 注入的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！