问题标签 [cfqueryparam]

我正在使用:order查询参数将订单参数传递给我的函数。不幸的是，它似乎对输出没有影响。

请求调试输出显示order参数已正确解析：

Parameter #2(cf_sql_varchar) = posts.createdAt ASC

然而它仍然对输出没有任何影响。如果我对参数 ( ) 进行硬编码ORDER BY ..., #arguments.order#，它可以正常工作。

有任何想法吗？

}

我很好奇当你传递一个列表时 maxlength 属性在 CFQUERYPARAM 中是如何工作的。maxlength 是否适用于整个列表的长度（即“1,2,3,4,5,6”= 11 的长度）？或者 maxlength 是否适用于列表中的每个项目？

我找不到这方面的任何文件。

如何在不使用 cfqueryparam 的情况下对 varchar 进行编码/转义以更安全？我想实现相同的行为而不使用<cfqueryparam>解决“此 RPC 请求中提供了太多参数。最大值为 2100”的问题。请参阅：http ://www.bennadel.com/blog/1112-Incoming-Tabular-Data-Stream-Remote-Procedure-Call-Is-Incorrect.htm

更新：

• 我想要验证/安全部分，而不生成准备好的语句。
• 我可以对内部的 varchar 做的最强大的编码/转义是<cfquery>什么？
• 类似于mysql_real_escape_string()可能的东西？

我正在做一些愚蠢的事情，但我不知道它是什么，有人可以指出我为什么会收到此错误：

从这段代码中，

这种形式：

发布到此脚本：

调用这个函数：

我经常遇到同样的错误。

如果我将所有查询参数替换为：

插入有效，如果我使用coldfusion尝试使用查询参数运行的sql并在mysql上运行它 - 那也有效！

数据库接受所有 sql_float 类型的 6 位数字和 4 位小数。

我一定是缺少 cfqueryparam 属性的东西——对吧？

我确定我只是用 CFQUERYPARAM 做这个可怕的错误，但这就是我想要做的：

我收到了错误

执行数据库查询时出错。

您的 SQL 语法有错误；检查与您的 MySQL 服务器版本相对应的手册，以在第 3 行的 'AND site='UTD'' 附近使用正确的语法

嗨，嗯，使用这段代码通过coldfusion对url进行编码

并且它也对点字符进行编码，这会在为特定 url name 生成签名时产生不同的 url。有人对这个问题有任何想法吗？有没有办法省略点字符并执行 urlEncode？

这让我非常困惑，因为我已经这样做了一百次，但现在它让我失望了。

我正在使用 CF 参数进行基本查询更新，并且表的主键正在传递一个空值，导致严重失败。

即使我在 中输入硬编码的数字#form.id placeholder#，我也会得到：

这是我的代码库

插入工作正常，列 ID 为 auto_increment int(5)。

我正在尝试提高我的应用程序的安全性。每当我从用户（无论是通过 POST 还是通过 GET）接收到应该是整数的数据时，我都会适当地验证它。但通常数据是 VARCHAR，有时可以包含 HTML。

在这种情况下，如何保护我的数据库免受 SQL 注入？

是否 <cfqueryparam value="#form.textInput#" cfsqltype="cf_sql_varchar">保护查询免于在 VARCHAR 值内发送恶意 SQL 语句？

我有以下查询在 16 毫秒 - 30 毫秒内运行。

如果我执行相同的查询但使用 cfqueryparam，它会在 500 毫秒 - 2000 毫秒内运行。

该表大约有 60,000 行。“散列”列是 varchar(50) 并且具有唯一的非聚集索引，但不是主键。数据库服务器是 MSSQL 2008。Web 服务器运行的是最新版本的 CF9。

知道为什么 cfqueryparam 会导致性能爆炸吗？无论我刷新页面多少次，它每次都以这种方式运行。如果我将列表配对到只有 2 或 3 个哈希，它在 150-200 毫秒时仍然表现不佳。当我消除 cfqueryparam 时，性能符合预期。在这种情况下，存在 SQL 注入的可能性，因此使用 cfqueryparam 肯定会更好，但从索引列中查找 2 条记录不应该花费 100 毫秒。

编辑：

1. 我们使用hash()不是 UUIDS 或 GUIDS 生成的哈希值。哈希由 a 生成，hash(SerializeJSON({ struct }))其中包含要在图像上执行的一组操作的计划。这样做的目的是让我们在插入之前和查询之前知道该结构的确切唯一 ID。这些散列充当了已经存储在数据库中的结构的“索引”。除了散列，相同的结构将散列到相同的结果，这对于 UUIDS 和 GUIDS 是不正确的。

2. 该查询正在 5 个不同的 CF9 服务器上执行，它们都表现出相同的行为。对我来说，这排除了 CF9 正在缓存某些东西的想法。所有服务器都连接到完全相同的数据库，因此如果发生缓存，它必须是数据库级别。

我想在 CFML 中创建一个带有 3 个参数（一个数字和两个日期）的函数。然后，该函数将对这些数据执行一些 cfquery 查询，例如 SELECT、UPDATE 和 INSERT...关于如何编写此函数的任何想法？我是 cfml 新手，所以很好