ColdFusion 在字符串中构造数据库查询时添加额外的引号

Question

我在 ColdFusion 中编码，但试图留在 cfscript 中，所以我有一个函数允许我传递一个查询来运行它 <代码>＃询问＃

但不知何故，当我使用 sql = "SELECT * FROM a WHERE b='#c#'" 构造查询并将其传入时，ColdFusion 已将单引号替换为 2 个单引号。 所以它在最终查询中变成 WHERE b=''c'' 。

我尝试过很多不同的方式创建字符串，但我无法让它只留下一个引号。 即使进行字符串替换也没有效果。

知道为什么会发生这种情况吗？ 它毁了我在这个项目期间生活在 cfscript 中的希望

Answer 1

根据设计，ColdFusion 在 标记内插入变量时会转义单引号。

要执行您想要的操作，您需要使用 PreserveSingleQuotes() 函数。

<cfquery ...>#PreserveSingleQuotes(query)#</cfquery>

然而，这并没有解决您所面临的 SQL 注入的危险。

还使用 允许数据库缓存查询，这在大多数情况下会提高性能。

阅读旧的 Ben Forta 专栏和Brad Wood 最近发表的文章，了解有关使用 优势的更多信息。

Answer 2

正如其他人所说，您的问题的答案是使用 preserveSingleQuotes(...)

但是，您真正想要的解决方案，不是以这种方式动态构建您的查询。 这太糟糕了。

将 SQL 放入 cfquery 标记内，并根据需要添加任何 ifs/switches/etc，并确保所有 CF 变量使用 cfqueryparam 标记。

（请注意，如果在 ORDER BY 子句中使用变量，则需要手动转义任何变量；cfqueryparam 不能在 ORDER BY 子句中使用）

Answer 3

当您使用以下语法时，ColdFusion 会自动转义 标记中的单引号：

SELECT * FROM TABLE WHERE Foo='#Foo#'

如果您想在 #Foo# 中保留单引号，则必须调用 <代码>#PreserveSingleQuotes(Foo)#。

请注意，自动转义仅适用于变量值，不适用于函数结果。

SELECT * FROM TABLE WHERE Foo='#LCase(Foo)#' /* Single quotes are retained! */

有鉴于此，函数 PreserveSingleQuotes() （请参阅 Adobe LiveDocs）只不过是对值的“空操作” - 将其转换为函数结果以绕过自动转义。

Answer 4

我对戴夫的回答投了赞成票，因为我认为他做得很好。

不过，我想补充一点，还有几种专为 ColdFusion 设计的不同工具，可以简化您可能执行的许多常见 SQL 任务。 有一个非常轻量级的工具，名为 DataMgr，由 Steve Bryant 编写，还有 转自 Mark Mandel，Reactor 最初由 Doug Hughes 创建，我开发了一个名为 DataFaucet 的项目。 其中每一个都有自己的优点和缺点。 就我个人而言，我认为您可能会认为 DataFaucet 能够为您提供留在 cfscript 中的最佳能力，它具有用于构建不同类型查询的多种语法。

以下是一些示例：

qry = datasource.select_avg_price_as_avgprice_from_products(); //(requires CF8)

qry = datasource.select("avg(price) as avgprice","products"); 

qry = datasource.getSelect("avg(price) as  avgprice","products").filter("categoryid",url.categoryid).execute();

qry = datasource.getSelect(table="products",orderby="productname").filter("categoryid",url.categoryid).execute();

该框架确保 cfqueryparam 始终与这些过滤语句一起使用，以防止 sql 注入攻击，并且插入、更新和删除语句也有类似的语法。 （有一些避免 sql 注入的简单规则。）