如何使用ColdFusion阻止SQL注入

Question

在ColdFusion方面,如何防止SQL注入？我对语言/框架很陌生.

这是我的示例查询.

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = #url.id#
</cfquery>

我认为传递url.id风险.

Answer 1

使用<cfqueryparam>您的身份标签:http:
//www.adobe.com/livedocs/coldfusion/6.1/htmldocs/tags-b20.htm

<cfquery name="rsRecord" datasource="DataSource">
    SELECT * FROM Table
    WHERE id = 
     <cfqueryparam value = "#url.id#"
        CFSQLType = "CF_SQL_INTEGER">
</cfquery>

Answer 2

• 使用参数化存储过程
• cfqueryparam
• 个别查询的错误处理
• 网站错误处理通过 <cferror>
• 限制在给定时间内来自特定IP的请求数的逻辑
• 确保数据库用户帐户只能访问应该执行的特定操作