如何修复ColdFusion站点上的SQL注入漏洞？

你的推测完全正确，这段代码的两个风险点确实是form.F（动态列名）和form.ID（直接拼接的参数），以下是具体修复步骤：

1. 处理form.ID的注入风险 #

直接拼接用户输入的ID会导致SQL注入，必须用<cfqueryparam>绑定参数，它会自动处理转义和类型校验：

• 因为ID通常是整数类型，指定cfsqltype="cf_sql_integer"严格限制输入类型，杜绝非整数恶意输入

2. 处理form.F的注入风险 #

动态列名无法用<cfqueryparam>处理，必须通过白名单验证确保用户输入的是合法列名：

• 先定义tblProduct表中允许修改的布尔列白名单（比如IsActive、IsFeatured这类业务中实际存在的列）
• 验证form.F是否在白名单内，不在则直接终止操作，避免恶意列名注入

修复后的完整代码 #

<!--- 验证动态列名的合法性白名单 --->
<cfset allowedColumns = ["IsActive", "IsFeatured", "IsInStock"]> <!--- 替换为你表中实际的合法列名 --->
<cfif NOT listFindNoCase(allowedColumns, form.F)>
    <cfthrow message="非法列名参数" detail="尝试修改的列名不在允许范围内">
</cfif>

<cfquery name="qry_Products" datasource="#request.mssql_dsn#" username="#request.mssql_uid#" password="#request.mssql_pwd#">
    UPDATE  tblProduct
    SET     #form.F# = <cfif currVal is 1>0<cfelse>1</cfif>
    WHERE   ID = <cfqueryparam value="#form.ID#" cfsqltype="cf_sql_integer">
</cfquery>

额外注意事项 #

• 白名单必须严格匹配tblProduct的实际表结构，不要包含业务上不允许用户修改的列
• <cfqueryparam>是ColdFusion防SQL注入的核心手段，所有用户输入的参数值都应该用它绑定
• <cfthrow>能在遇到非法输入时及时终止操作，避免潜在风险扩散

内容的提问来源于stack exchange，提问作者MrPeriodical