CFQUERYが正しく

Question

可能性の重複を単一引用符をエスケープされない：私は挿入時にBeanを参照するためにゲッターを使用しようとしています
Coldfusion adding extra quotes when constructing database queries in strings

すべて、

。 CFは 'form.title'の値で一重引用符を正しくエスケープしていないため、誤ったSQLエラーが発生します。

アイデア？

ここにコードがあります。あなたがそのようにやろうとしている場合は

<cfscript> 
form.title = "page's are awesome"; 

page = new model.page.page(argumentCollection = form); 

<cfquery name="test" datasource="ksurvey"> 
insert into page(title) 
values('#page.getTitle()#') 
</cfquery> 

Answer 1

は、あなたはどのようにあなたがすべき程度の標準的な注意点を挿入し、preserveSingleQuotes（）もちろん

INSERT INTO page(title) VALUES ('#preserveSingleQuotes(page.getTitle())#')

が必要cfqueryparamを使用してSQLインジェクション攻撃を回避してください。参考のため

INSERT INTO page(title) VALUES (<cfqueryparam value="#page.getTitle()#" cfsqltype="cf_sql_varchar" />)

：

• http://cfquickdocs.com/cf9/#preservesinglequotes
• http://cfquickdocs.com/cf9/#cfqueryparam

Answer 2

私はcfqueryparamの、その安全ではないを使用せずにデータベースに任意の値を挿入しないだろう！それだけでなく、cfqueryparamがあなたのためにエスケープするすべてを処理します。

<cfquery name="test" datasource="ksurvey"> 
    insert into 
     page(title) 
    values(<cfqueryparam value="#page.getTitle()#" cfsqltype="cf_sql_varchar">); 
</cfquery>