建立一個ColdFusion的查詢問題與LIKE語句

Question

我想建立一個動態SQL語句與這一行

<cfset SQL = "SELECT url, MONTH(event_date) AS months, YEAR(event_date) AS year, event_date, title from events where title LIKE '%#form.event_name#%' "> 

<cfquery name="results" > 
#SQL# 
</cfquery> 

似乎還有與同類條款的問題。有任何想法嗎？我需要逃避％嗎？

感謝

Answer 1

在一個CFQUERY，ColdFusion的將#SQL#與自動的雙引號替換單引號。

所以理論上你會寫你的查詢是這樣的：

<cfquery name="results" > 
#PreserveSingleQuotes(SQL)# 
</cfquery> 

但...這是非常危險的接受表單變量，並直接在查詢中使用它沒有進一步的驗證。似乎是對我的SQL注入攻擊的邀請。

我寧願使用<cfqueryparam>像這樣：

<cfquery name="results" > 
SELECT url, MONTH(event_date) AS months, YEAR(event_date) AS year, event_date, title 
from events 
where title LIKE <cfqueryparam cfsqltype="cf_sql_varchar" value="%#form.event_name#%"> 
</cfquery>