如何在ColdFusion页面间传递表单变量并用于数据库更新？

引言 #

我正在尝试在ColdFusion的第3页中获取第1页的变量。了解到可以使用session或全局变量，但不确定这些方法是否适用于我的需求。

问题 #

不确定哪种传递方式最佳，因为终端用户每天会多次使用该表单，担心用户未正常关闭会话时session变量无法正确清除，导致后续操作出错。

场景说明 #

我的表单用于通过客户的Order ID更新数据库信息：

1. 第1页：用户输入Order ID搜索客户信息，代码如下：

<cfform action="searchresults.cfm" method="post">
    <label for="Search" style="color: #fff !Important;"> Customer's OrderID:</label>
    <cfinput type="text" name="search" id="search" required="Yes" message="Please enter an OrderID." class=" form-control" >         
    <input style="margin-top:20px;" type="submit" value="Search" class="btn red-btn">
</cfform>

2. 第2页：searchresults.cfm，既是查询结果展示页，也是为第3页更新操作提供数据的表单页。
3. 第3页：通过CFQUERY使用第1页的search变量更新数据库，代码如下：

<cfquery name="updateform" datasource="collinsmobile">
    UPDATE Table
    SET
        FName= <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.FName#" />
        LName = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.LName#" />
        CustomerEmail = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.CustomerEmail#" />
        CustomerPhone = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.CustomerPhone#" />
        CAddress = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.CAddress#" />
        City = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.City#" />
        St = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.State#" />
        Zip = <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.Zip#" /> 
    Where OrderID= '#search#'
</cfquery>

推荐方案 #

针对你的场景，不建议使用session变量，因为用户多次操作时容易出现变量残留问题。更合适的方案是：

1. 通过表单隐藏字段传递OrderID #

在第2页的更新表单中，添加一个隐藏字段存储OrderID：

<cfinput type="hidden" name="OrderID" value="#form.search#">

这样第3页提交时，就能通过form.OrderID获取到该值，更新查询的WHERE子句修改为：

Where OrderID= <cfqueryparam cfsqltype="cf_sql_varchar" value="#form.OrderID#" />

注意：一定要用<cfqueryparam>防止SQL注入，你之前的代码直接拼接#search#存在安全风险。

2. URL参数传递（可选） #

如果第3页是通过GET请求访问，可以将OrderID作为URL参数传递，比如第2页的表单action设置为：

action="updatepage.cfm?OrderID=#form.search#"

第3页通过url.OrderID获取值，同样要配合<cfqueryparam>使用。但这种方式不适合敏感数据，且URL长度有限制，表单提交优先用POST+隐藏字段。

3. 临时存储到数据库（复杂场景可选） #

如果流程涉及多步且数据较多，可以将OrderID和临时数据存储到数据库的临时表中，用唯一标识（比如UUID）关联，后续页面通过该标识获取数据。但这个方案相对复杂，你的场景用隐藏字段足够。

关键注意事项 #

• 始终使用<cfqueryparam>处理用户输入，避免SQL注入攻击。
• 避免依赖session存储单次操作的临时数据，防止多操作之间的变量污染。
• 在第3页要校验form.OrderID是否存在且有效，避免空值或非法值导致的错误。

内容的提问来源于stack exchange，提问作者Matthew W.