将数据形成数据库：防止SQL注入

Question

最近有人提到，我们通过表单提交将数据插入 SQL 数据库的方法会受到 SQL 注入攻击，因此需要一些建议来加强我们的安全性。

下面是将表单数据插入数据库的代码：

        <cfquery name="InsRegistrant" datasource="#application.Datasource#" dbtype="odbc">

            INSERT INTO Schedule_Registrations(
                schedule_id,
                first_name,
                last_name,
                phone_number,
                email,
                guest,
                list_type,
                datetime_registered
             )
            VALUES(
                #url.schedule_id#,
                '#FORM.first_name#',
                '#FORM.last_name#',
                '#CleanPhoneNumber#',
                '#FORM.email#',
                 #attendee.guest#,
                 <!--- Values for list types 
                    0 = NEVER USE Will cause many many problems
                    1 = Main List
                    2 = Waiting List --->                    
                 #attendee.list_type#,
                 #createodbcdatetime(now())#
             )                
        </cfquery>

CleanPhoneNumber 是这样设置的：

<cfset CleanPhoneNumber = REReplace(form.phone_number, "[^0-9]", "", "ALL") />

例如，我被告知要使用，

<cfqueryparam cfsqltype="cf_sql_varchar" value="#form.phone_number#" />

但我不确定要替换什么以及在哪里替换。当我用这样的值替换这些值时，我收到错误。

任何方向都会有帮助..

Answer 1

您应该将所有表单和 url 变量包装在 cfqueryparam 中。

您的查询将如下所示：

<cfquery name="InsRegistrant" datasource="#application.Datasource#" dbtype="odbc">
    INSERT INTO Schedule_Registrations(
         schedule_id,
         first_name,
         last_name,
         phone_number,
         email,
         guest,
         list_type,
         datetime_registered
     )
     VALUES(
         <cfqueryparam cfsqltype="cf_sql_integer" value="#url.schedule_id#">,
         <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.first_name#">,
         <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.last_name#">,
         <cfqueryparam cfsqltype="cf_sql_varchar" value="#CleanPhoneNumber#">,
         <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.email#">,
         <cfqueryparam cfsqltype="cf_sql_integer" value="#attendee.guest#">,
         <!--- Values for list types 
            0 = NEVER USE Will cause many many problems
            1 = Main List
            2 = Waiting List --->                    
         <cfqueryparam cfsqltype="cf_sql_integer" value="#attendee.list_type#">,
         #createodbcdatetime(now())#
     )                
</cfquery>

我不确定所有数据类型是否正确，请参阅 所有数据类型的 cfqueryparam 的完整文档。

Answer 2

您可以采取一些好的做法。

对于插入代码，您可以执行的操作之一是在插入数据之前显式检查表单字段的输入。检查空格和“'”等内容。您还希望确保用户不会看到因输入错误数据而导致的错误消息。这对于想要了解表结构的人很有用。

否则，将插入放入存储过程中，并在调用存储过程进行插入或更新之前验证输入参数。

以下列出了您可以采取的措施来防止 SQL 注入攻击。它与 asp.net 相关，但无论您使用哪种语言，这些概念仍然适用。

如何：防止 ASP.NET 中的注入攻击