sql - 如何防止coldfusion sql-injection on order by子句

Question

由于 cfqueryparam 不能按顺序工作，使用 xmlformat 会停止 sql 注入(inject)吗？

ORDER BY #xmlformat(myVariable)#

谢谢，

Answer 1

http://www.petefreitag.com/item/677.cfm

绕过这个限制的一个好方法是使用 ListFindNoCase 函数，限制可排序的列名 ， 例如:

<cfset sortable_column_list = "age,height,weight,first_name">
<cfquery ...>
  SELECT first_name, age, height, weight
  FROM people
  ORDER BY <cfif ListFindNoCase(sortable_column_list, url.sort_column)>#url.sort_column#<cfelse>first_name</cfif>
</cfquery>