coldfusion - 在不使用 cfqueryparam 的情况下防止 SQL 注入(inject)

Question

我的旧项目包含许多未使用 cfqueryparam 的查询以防止 SQL 注入(inject)。有没有办法在每个表单字段的应用程序级别上使用一些功能来做类似的事情？

作为一个有 PHP 背景的初学者，我认为我可以循环发布数据并执行 escape_string()或类似的。但我不希望数据以转义形式保存。我认为 cfqueryparam不以转义形式保存数据。 (我还没有尝试过。我是 CF 的新手。)否则，我必须在每次检索时将数据转义回来，我不想这样做。我希望按原样插入和检索输入。

基本上我只是希望它在应用程序级别完成，所以我不必在每个项目上一一更改数千个查询。

样本输入

it's my book
user@gmail.com'; delete database --

Answer 1

我曾在三个不同的公司工作过，它们必须进行完整的项目卡住并分配所有开发人员来更新对查询和存储过程的调用。有些人甚至不得不雇佣承包商来做这几个月。您将不得不硬着头皮手动进行。

您可能会借此机会删除一堆冗余查询，将它们替换为存储过程并将它们移动到 CFC。这将允许您重用来自单一来源的查询并减少您必须完成的工作总量。

您可以放置​​一个 Web 应用程序防火墙 (WAF) 来处理来自外部的一些请求，但它们不是 100%。根据您的客户，代码必须在不使用 WAF 的情况下防止 SQL 注入(inject)。