将 ms 访问迁移到 mysql -- 更改 CF 编码（来自新手）

Question

我正在将 Coldfusion9 查询代码从 ms access 2003 迁移到 mySql。我的MySql知识有限，所以这是一个初学者的问题:)

在我的MS Access代码中，我使用了简单的cfqueries...这是一个例子：

<cfquery name="catalog" datasource="mydatasource">
SELECT TableID, DateListed, FirstColor, SecondColor
FROM mytable
WHERE FirstColor='blue' OR SecondColor='blue'
ORDER BY DateListed DESC
</cfquery>

我从在线阅读中了解到，需要将cfqueryparam与mySql一起使用来防止注入恶意代码。我不确定恶意代码是如何注入的......由于在线网站用户不通过表单与我的数据库交互，我是否仍然需要使用 cfqueryparam？

如果是这样，您能给我一个将 cfqueryparam 添加到上述代码的方法示例吗？ -或者- 建议一个好的、简单的如何编写 mySql 代码的资源（在我的在线搜索中，大多数编码信息都预设了比我更高水平的知识）

Answer 1

除了防止 SQL 注入之外，CFQUERYPARAM 还允许您使用绑定变量，这可以提高性能，因为除了某些变量之外相同的查询只需要编译一次并且可以缓存。

从您的示例来看，这就是您使用 cfqueryparam 的方式：

<cfquery name="catalog" datasource="mydatasource">
SELECT TableID, DateListed, FirstColor, SecondColor
FROM mytable
WHERE FirstColor=<cfqueryparam cfsqltype="cf_sql_varchar" value="blue">
   OR SecondColor=<cfqueryparam cfsqltype="cf_sql_varchar" value="blue">
ORDER BY DateListed DESC
</cfquery>

但是，这并没有给您带来太多好处。回报是在这样的情况下：

<cfquery name="catalog" datasource="mydatasource">
SELECT TableID, DateListed, FirstColor, SecondColor
FROM mytable
WHERE FirstColor=<cfqueryparam cfsqltype="cf_sql_varchar" value="#form.color#">
   OR SecondColor=<cfqueryparam cfsqltype="cf_sql_varchar" value="#form.color#">
ORDER BY DateListed DESC
</cfquery>

现在，无论颜色是蓝色、红色还是黄绿色，该查询都会在数据库中编译，并且在后续调用中速度会更快。此外，恶意用户可以将 form.color 更改为 blue';drop table users; 值，这样您就可以免受 SQL 注入的侵害。

Answer 2

使用 cfqueryparam 至少有三个充分理由：

1) 安全，防止注入或用户的其他不良意图。

2) 查询执行得更快，因为您明确声明了查询的类型。

3）这只是一个好主意，再加上与其他语言功能类似，例如

$unsafe_variable = $_POST["user-input"];
$safe_variable = mysql_real_escape_string($unsafe_variable);

我们在 DAO 对象中使用了这样的示例（这些是其中包含与数据库对话的代码的 cfc）

<cfqueryparam cfsqltype="CF_SQL_INTEGER" value=#arguments.assessmentID# />
<cfqueryparam cfsqltype="CF_SQL_CHAR" value='%#arguments.searchString#%' />
<cfqueryparam cfsqltype="CF_SQL_DATE" value=#arguments.assessmentDate# />

其中 #arguments.varname#被传递到包含 SQL 的方法中。