PreserveSingleQuotes и CFQueryParam

Question

Я создаю динамический SQL Query с использованием CFLoop. Я использую CFSaveContent для перебора переменных и построения запроса, а затем я выполняю его в CFQuery с использованием PreserveSingleQuotes. Это работает нормально, но проблема с этим методом заключается в том, что я не могу использовать CFQueryParam, поэтому мой запрос уязвим для инъекций. Было ли интересно, есть ли способ обхода проблемы?

Update:

<cfsavecontent variable="sqlstring"> 
      SELECT id 
        ,(CASE 
         <cfloop query="qGetRules"> 
          WHEN val1 >=#qGetRules.equ# AND val2 >#arguments.leve# THEN 1 
         </cfloop> 
         ELSE 0 
         END) AS criteria 
      FROM mt4_users 
    </cfsavecontent> 


    <cfquery name="qGetEquity" datasource="mydatasource"> 
     #PreserveSingleQuotes(variables.sqlstring)# 
    </cfquery> 

Итак, на этом примере, как вы можете видеть, что я не могу использовать cfqueryparam для arguments.leve, потому что это приведет к краху на PreserveSingleQuotes

Answer 1

Хитрость заключается в том, чтобы использовать параметр list от cfqueryparam. Он будет правильно форматировать данные для запроса, экранированные кавычки (если необходимо) и все.

Если список числовых значений (например, в WHERE X IN (1,2,3,4) заявлении):

<cfqueryparam value="#arguments.foo#" cfsqltype="cf_sql_integer" list="true">

Если список строковых значений:

<cfqueryparam value="#arguments.foo#" cfsqltype="cf_sql_varchar" list="true">

Это также работает для cfprocparam ,