这是Coldfusion查询SQL注入证明吗？

Question

通常我在我的应用程序中使用整数id,但对于这一个dev我正在查找文本字段 - 标记名称.

我确实使用了cfqueryparam,但考虑到它是一个文本字段,它是否容易受到SQL注入攻击,如果是这样,除了繁琐地搜索字符串中的SQL命令之外,其他人如何解决这个问题.

我的查询看起来像:

SELECT tagId -- etc etc
FROM tag
WHERE tagName = <cfqueryparam cfsqltype="cf_sql_varchar" maxlength="50" value="#arguments.tagName#" />

谢谢

Answer 1

由于您正在使用这一点,这是安全的<cfqueryparam>.这就是标签的作用.它将值作为文本(或任何cfsqltype碰巧)发送,而不是要执行的命令.

Answer 2

在大多数情况下是...为此进行SQL注入将非常困难.CFQUERYPARAM确实使sql注入查询几乎不可能.但是,请记住,对所有形式的攻击都没有任何效果.