当查询列是 cfqueryparam 变量时从 cfquery 获取单个输出

Question

我正在使用 ColdFusion 并尝试创建一个函数，让我可以获取特定帐户中特定列的值（每个帐户都有自己的记录/行）。

这样的函数可以正常工作：

<cffunction name="getColumnValueFromAccount" access="public" returntype="string" >
    <cfargument name="accountName" type="string" required="yes" />

    <cfquery name="getColumn" datasource="mydatasource">
        <!--- Note that the line below is 'hard-coded.' --->
        SELECT role_ExampleSystem
        FROM table_name
        WHERE (accountName = <cfqueryparam cfsqltype="cf_sql_varchar" maxlength="50" value='#accountName#'>)
    </cfquery>

    <!--- It's easy to return the column value when you know what its name was. --->
    <cfreturn getColumn.role_ExampleSystem > 

</cffunction>

但我真正想要的是一个函数，它允许我指定从哪个列名读取，并且不需要制作一堆几乎相同的 CF 函数，它们只是具有不同的硬编码 SELECT 参数。我在想它应该看起来像这样，但我在实际读取我认为它应该返回的单个字符串时遇到了麻烦。

<cffunction name="getColumnValueFromAccount" access="public" returntype="string" >
    <cfargument name="accountName" type="string" required="yes" />
    <!--- Trying to accept a column name as an argument --->
    <cfargument name="columnName" type="string" required="yes" />

    <cfquery name="getColumn" datasource="mydatasource">
        <!--- I'm trying to use cfqueryparam to add specify the column name to select. --->
        SELECT <cfqueryparam cfsqltype="cf_sql_varchar" maxlength="50" value='#columnName#'>
        FROM table_name
        WHERE (accountName = <cfqueryparam cfsqltype="cf_sql_varchar" maxlength="50" value='#accountName#'>)
    </cfquery>

    <!--- This line doesn't work. --->
    <cfreturn getColumn[#columnName#] >

</cffunction>

我认为您可以在 getColumn[#columnName#] 或 getColumn[columnName] 这样的括号符号中使用变量，因为有人在 comment 中提到了它。但是当我自己尝试使用变量时，它并没有按预期工作。我收到此错误：

The value returned from the getColumnValueFromAccount function is not of type string. If the component name is specified as a return type, it is possible that either a definition file for the component cannot be found or is not accessible.

知道当我想获得 cfquery 的单个结果时应该采取什么路线，但我没有在查询的 SELECT 部分使用硬编码的列名吗？通常这个过程很简单，但是当你的列名是一个变量时，情况似乎有点不同。

Answer 1

查询是数组的结构，如 queryname[key][1]。

由于向后兼容性，它首先可以工作。从一开始你可以做 queryname.columnname 和 CF 将输出该列查询的第一行。一旦切换到对象语法，它就不再那样工作了。

在你的 cfreturn 中试试这个：

getColumn[columnName][1]

注意 - 您的 cfreturn 示例中不需要井号。

Answer 2

我的解决方案：

根据 Leigh 的建议，即我不能以尝试使用它的方式使用 cfqueryparam，以及 Mark A Kruger 的 answer，我能够修改我的代码并使其正常工作。现在看起来像这样：

<cffunction name="getColumnValueFromAccount" access="public" returntype="string" >
    <cfargument name="accountName" type="string" required="yes" />
    <cfargument name="columnName" type="string" required="yes" />

    <cfquery name="getColumn" datasource="mydatasource">
        SELECT #columnName#
        FROM table_name
        WHERE (accountName = <cfqueryparam cfsqltype="cf_sql_varchar" maxlength="50" value='#accountName#'>)
    </cfquery>

    <cfreturn getColumn[columnName][1] >

</cffunction>

它现在正确返回指定系统中的帐户角色，即如果帐户accountName 是ExampleSystem 中的admin，并且我将role_ExampleSystem 作为ColumnName 传递给函数，该函数将返回admin正如预期的那样。

警告：如果使用不当，我的解决方案可能会带来 SQL 注入风险！

在这样的 SQL 语句中使用 ColdFusion 变量不会提供任何防止 SQL 注入的保护，因此允许用户输入是一个非常糟糕的主意此处用于columnName 的数据。在我的情况下，这个函数只会被我编写的其他服务器端函数调用，并且用于columnName 的数据将被硬编码在服务器端函数中。另一方面，accountName 是用户指定的，因此它位于 cfqueryparam 中很重要。

另一种更安全的解决方案：

Mark A Kruger mentioned 最好选择您可能需要的每一列，然后阅读您真正感兴趣的那一列。这似乎是个好主意。毕竟，获取记录的每个（相关）列不太可能是比我的单列示例更大的数据库调用——除非您的数据库具有包含大量列的大量记录。您也可以这样做，并且作为一个附带好处，您不必担心在cfquery 中使用常规冷融合#variable# 可能会打开您的SQL 注入。

阅读每个人的答案和 cmets 非常有启发性。希望这个问题及其答案可以帮助有兴趣在 ColdFusion 中做类似事情的其他人！