cfqueryparam вопросы / помощь

Question

Через этот вопрос Мне сказали начать использовать cfqueryparam для моих данных, чтобы предотвратить атаки SQL-инъекций.

Как мне использовать его для моих форм?Прямо сейчас я просматривал книгу Бена Форты, том 1, и передавал данные в мою форму, а затем в процессор форм, который вызывает CFC.CFC принимает их как cfargument, а затем вводит их в базу данных с любой проверкой типа = "x".

Я использую cfqueryparam, я использую это в самом запросе и даже не объявляю cfargument?

Answer 1

Вы все еще можете использовать CFC, но помните, что строковые данные, переданные в качестве аргумента функции, все равно будут нуждаться в <cfqueryparam>.Вот пример:

<cffunction name="saveData" access="public" returntype="void" output="false"> 
 <cfargument name="formVar" type="string" required="true" />

 <cfquery name="LOCAL.qSave" datasource="myDSN">

  insert into myTable (col1)
  values (<cfqueryparam cfsqltype="cf_sql_varchar" value="#ARGUMENTS.formVar#" />)

 </cfquery>

</cffunction>

Важная привычка - всегда использовать <cfqueryparam>, даже в ХФУ.

Вот еще немного информации по этим краям.случаи , где вам может быть трудно использовать <cfqueryparam>.

Надеюсь, это поможет!