PreserveSingleQuotes et CFQueryParam

Question

Je construis une dynamique requête SQL en utilisant CFLoop. J'utilise CFSaveContent pour parcourir les variables et générer la requête, puis je l'exécute dans CFQuery en utilisant PreserveSingleQuotes. Cela fonctionne très bien, mais le problème avec cette méthode est que je ne peux pas utiliser CFQueryParam donc ma requête est vulnérable aux injections. Est-ce que je me demandais s'il y avait une solution de contournement pour ce problème?

Mise à jour:

<cfsavecontent variable="sqlstring"> 
      SELECT id 
        ,(CASE 
         <cfloop query="qGetRules"> 
          WHEN val1 >=#qGetRules.equ# AND val2 >#arguments.leve# THEN 1 
         </cfloop> 
         ELSE 0 
         END) AS criteria 
      FROM mt4_users 
    </cfsavecontent> 


    <cfquery name="qGetEquity" datasource="mydatasource"> 
     #PreserveSingleQuotes(variables.sqlstring)# 
    </cfquery> 

donc sur cet exemple que vous pouvez voir que je ne peux pas utiliser cfqueryparam pour le arguments.leve car il se bloque sur PreserveSingleQuotes

Answer 1

L'astuce consiste à utiliser le paramètre list de cfqueryparam. Il formatera correctement les données pour la requête, les guillemets échappés (si nécessaire) et tous.

Si la liste est des valeurs numériques (par exemple, dans un communiqué WHERE X IN (1,2,3,4)):

<cfqueryparam value="#arguments.foo#" cfsqltype="cf_sql_integer" list="true">

Si la liste est des valeurs de chaîne:

<cfqueryparam value="#arguments.foo#" cfsqltype="cf_sql_varchar" list="true">

Cela fonctionne aussi pour cfprocparam .