मैं कोल्डफ्यूजन

Question

के साथ एसक्यूएल इंजेक्शन को कैसे रोकूं मैं कोल्डफ्यूज़न की स्थिति में SQL इंजेक्शन को कैसे रोकूं? मैं भाषा/ढांचे के लिए काफी नया हूँ।

यहां मेरा उदाहरण प्रश्न है।

<cfquery name="rsRecord" datasource="DataSource"> 
    SELECT * FROM Table 
    WHERE id = #url.id# 
</cfquery> 

मैं एक जोखिम के रूप url.id में गुजर देखते हैं।

Answer 1

अपने आईडी के लिए एक <cfqueryparam> टैग का प्रयोग करें:
http://www.adobe.com/livedocs/coldfusion/6.1/htmldocs/tags-b20.htm

<cfquery name="rsRecord" datasource="DataSource"> 
    SELECT * FROM Table 
    WHERE id = 
    <cfqueryparam value = "#url.id#" 
     CFSQLType = "CF_SQL_INTEGER"> 
</cfquery> 

Answer 2

• एक पैरामिट्रीकृत संग्रहीत प्रक्रिया
• cfqueryparam
• त्रुटि व्यक्तिगत क्वेरी के आसपास से निपटने का उपयोग
• <cferror> के माध्यम से साइट के लिए से निपटने त्रुटि
• तर्क यह है कि कि एक निश्चित समय
• में एक विशिष्ट आईपी से आते हैं सुनिश्चित डेटाबेस उपयोगकर्ता खाते केवल विशिष्ट कार्यों यह चाहिए

Answer 3

एक अन्य विकल्प संग्रहित प्रक्रियाओं का उपयोग करने के लिए है की पहुंच है (यदि अनुरोध की संख्या को सीमित आप डेटाबेस उनका समर्थन करता है)।

http://livedocs.adobe.com/coldfusion/8/htmldocs/help.html?content=Tags_r-s_22.html

Answer 4

cfqueryparam का उपयोग रोकने एसक्यूएल इंजेक्शन अच्छा है के लिए है। लेकिन, यदि आप cfqueryparam का उपयोग करना चाहते हैं तो आप cququery टैग में cachewithin का उपयोग नहीं कर सकते हैं। मेरी एक और सलाह है कि

इस स्थिति को अपने पृष्ठ के शीर्ष पर रखें।

< CFIF IsDefined ("आईडी") न कि IsNumeric (आईडी) > < cfabort showerror = "अमान्य क्वेरी स्ट्रिंग" > </CFIF >

आपकी क्वेरी टैग में, बस इस तरह का उपयोग करें:

कहां आईडी = #Val (आईडी) #

भी देखें, कैसे रोकने के लिए: http://ppshein.wordpress.com/2008/08/28/block-ip-in-coldfusion/

Answer 5

cfqueryparam के अलावा आप प्रत्येक चर इसे करने के लिए पारित कर दिया के लिए एसक्यूएल युक्त पेज के शीर्ष पर cfparam उपयोग कर सकते हैं। यह दस्तावेज़ीकरण में भी मदद करता है।

उदा।

<cfparam name="url.id" type="integer"> 

या अधिक उन्नत:

<cfparam name="url.id" type="regex" pattern="\d" default=""> 

के बाद से रेगुलर एक्सप्रेशन पैटर्न अनुमति दी जाती है, इन अत्यंत शक्तिशाली हो सकता है:

<cfparam name="form.place" type="regex" pattern="[A-Z0-9]{1,6}|" default=""> 
     <!--- Upper case Alpa or Numeric, 1-6 characters or empty string ---> 

इसके अलावा, आप अपने आवेदन पत्र में एक cferror का उपयोग सुनिश्चित करें। आपकी क्वेरी तालिका को उजागर करने से रोकने के लिए cfm या application.cfc और कॉलम नाम