我必须对静态值使用cfqueryparam吗？

Question

我必须对静态值使用cfqueryparam吗？

假设我的where子句是这样的：

WHERE status = 1

这样做有什么好处吗：

WHERE id = <cfqueryparam value="1" maxlength="32" cfsqltype="cf_sql_integer">

我在整个查询中重复使用这个1值。

Answer 1

您不需要这样做。对静态文本进行参数设置不会带来任何安全收益。

然而，在查询优化方面存在性能提升，因此这样做仍然是一种收益，但这只适用于必须运行新查询的情况，因此除了第一次运行静态查询之外，这并不是一种收益。

不过，始终对变量进行参数设置。