如何使用 ColdFusion 防止 SQL 注入

发布于 2024-08-28 08:13:49 字数 250 浏览 8 评论 0原文

ColdFusion 中如何防止 SQL 注入？我对这种语言/框架很陌生。

这是我的示例查询。

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = #url.id#
</cfquery>

我认为传递 url.id 是一种风险。

原文

How do I prevent SQL injection when it comes to ColdFusion? I'm quite new to the language/framework.

Here is my example query.

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = #url.id#
</cfquery>

I see passing in url.id as a risk.

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

指尖凝香 2024-09-04 08:13:49

使用标记作为您的 ID：
http://www.adobe.com/livedocs/coldfusion/6.1 /htmldocs/tags-b20.htm

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = 
     <cfqueryparam value = "#url.id#"
        CFSQLType = "CF_SQL_INTEGER">
</cfquery>

Use a <cfqueryparam> tag for your id:
http://www.adobe.com/livedocs/coldfusion/6.1/htmldocs/tags-b20.htm

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = 
     <cfqueryparam value = "#url.id#"
        CFSQLType = "CF_SQL_INTEGER">
</cfquery>

回复收藏 0 原文

末蓝 2024-09-04 08:13:49

使用参数化存储过程
cfqueryparam
单独查询
错误处理，通过逻辑对站点进行
错误处理，该逻辑限制给定时间内来自特定 IP 的请求数量
，确保仅数据库用户帐户有权访问它应该执行的特定操作

回复收藏 0 原文

一个人练习一个人 2024-09-04 08:13:49

除了 cfqueryparam 之外，您还可以在页面顶部使用 cfparam，其中包含传递给它的每个变量的 SQL。这也有助于文档。

例如

<cfparam name="url.id" type="integer">

或更高级：

<cfparam name="url.id" type="regex" pattern="\d" default="">

由于允许正则表达式模式，因此它们可能非常强大：

<cfparam name="form.place" type="regex" pattern="[A-Z0-9]{1,6}|" default=""> 
       <!--- Upper case Alpa or Numeric, 1-6 characters or empty string --->

同时确保您在 application.cfm 或 应用程序中使用 cferror。 cfc 以防止暴露您的查询表和列名称。

In addition to cfqueryparam you can use cfparam at the top of the page containing the SQL for each variable passed to it. This helps documentation also.

e.g.

<cfparam name="url.id" type="integer">

or more advanced:

<cfparam name="url.id" type="regex" pattern="\d" default="">

Since regular expression pattern are permitted, these can be extremely powerful:

<cfparam name="form.place" type="regex" pattern="[A-Z0-9]{1,6}|" default=""> 
       <!--- Upper case Alpa or Numeric, 1-6 characters or empty string --->

Also make sure you use a cferror in your application.cfm or application.cfc to prevent exposing your query table and column names.

回复收藏 0 原文