mysql - ColdFusion 的 magic_quotes_gpc 设置？冷藏箱？

Question

我是 ColdFusion 的新手，想从输入字段的值中删除单引号。我试图在谷歌上搜索，我发现是使用“magic_quotes_gpc”或“mysql_real_escape_string”，但 ColdFusion 中不存在这些函数。有什么办法可以在 ColdFusion 中处理这种 mysql 查询注入(inject)吗？

更新:

感谢您的回复，但请看我的代码

<div class="form-group">
    <label for="jobDesc">Job description</label>
    <textarea name="description" class="form-control" rows="3" id="jobDesc">
        <cfif isdefined('userTime')>#userTime.description#</cfif>        
   </textarea>
</div>

我只想在文本区域中使用单引号，并且我的表单正在提交给事件。查询是:

 sqlstr = "";
          sqlstr = "insert into usertime set
          userid = '#arguments.userTimeParams.userid#',
          projectid = '#arguments.userTimeParams.projectid#',
          timesheetdate = '#arguments.userTimeParams.timesheetdate#',
          estimatedtimespent = '#arguments.userTimeParams.jobhours * 60 + arguments.userTimeParams.jobMins#',
          description = '#arguments.userTimeParams.description#',
          timeentered = #arguments.userTimeParams.timeentered#;";

            queryObj = new query();
            queryObj.setDatasource("timesheet");
            queryObj.setName("adduserTime");
            result = queryObj.execute(sql=sqlstr);
            adduserTime = result.getResult();
            return result.getPrefix().generatedKey;

我有一个选项，我可以在我的字符串中添加斜杠，但我必须在所有字符串中添加斜杠。那么有没有什么函数或方法可以用更少的代码行来做到这一点呢？

抱歉，知识有限，问得太多。

Answer 1

嗯...只是不要传递在 SQL 语句中硬编码的用户输入(或任何其他数据 ~)值，而是将它们作为参数值传递。

例子:

coloursViaQueryExecute = queryExecute("
    SELECT  en AS english, mi AS maori
    FROM    colours
    WHERE   id BETWEEN :low AND :high 
    ",
    {low=URL.low, high=URL.high},
    {datasource="scratch_mssql"}
);

在哪里low和 high是你的参数。

请参阅相关文档 @ QueryExecute()

并进一步阅读该主题:

• > What one can and cannot do with <cfqueryparam>
• > Query.cfc / queryExecute() have a good feature <cfquery> lacks