クエリーパラメータのデータタイプを検証します。バインド変数をサポートする DBMS では、SQL ステートメントでバインド変数を使用できるようにします。バインド変数を使用することで、cfquery ステートメントを何度も実行するときのパフォーマンスが向上します。

このタグは、クエリー SQL ステートメント内に埋め込まれた cfquery タグ内にネストされます。オプションのパラメータを指定すると、このタグはデータ検証を実行します。

各 cfquery タグ内で cfqueryparam タグを使用して、未認可のユーザーからデータベースを保護するようにしてください。詳細については、セキュリティ情報 ASB99-04「Multiple SQL Statements in Dynamic Queries」(www.macromedia.com/devnet/security/security_zone/asb99-04.html) および 『ColdFusion MX 開発ガイド』の第20章の「データへのアクセスおよび取り出し」 を参照してください。

データベース操作タグ

cfinsert、cfprocparam、cfprocresult、cfquery、cfstoredproc、cftransaction、cfupdate、『ColdFusion MX 開発ガイド』の第20章の「データへのアクセスおよび取り出し」 の「cfqueryparam によるセキュリティの強化」

cfqueryparam タグは、ColdFusion 変数を使用する任意の SQL ステートメント (SELECT、INSERT、UPDATE、DELETE など) で使用します。

cfquery、cachedAfter、または cachedWithin の各属性は、cfqueryparam と共に使用できません。

文字列データの検証の最大値を決定するために、maxlength 属性を指定します。

このタグでは次のことが実行されます。

• SQL バインドパラメータを使用可能にします。これによりパフォーマンスが向上します。
• 指定された SQL タイプと変数データが一致していることを確認します。
• SQL ステートメントからの長いテキストフィールドの更新を可能にします。
• 文字列変数を一重引用符でエスケープします。

バインド変数によるパフォーマンスの向上を活かすには、すべての ColdFusion 変数に cfqueryparam を使用する必要があります。また、DBMS がバインド変数をサポートしている必要があります。DBMS がバインドパラメータをサポートしていない場合は、ColdFusion で検証が行われ、検証済みのパラメータ値が文字列に置き換えられます。検証に失敗すると、エラーメッセージが返されます。

検証ルールは次のとおりです。

• 次のタイプについては、データ値を数値に変換することができます。
  CF_SQL_SMALLINT、CF_SQL_INTEGER、CF_SQL_REAL、CF_SQL_FLOAT、CF_SQL_DOUBLE、CF_SQL_TINYINT、CF_SQL_MONEY、CF_SQL_MONEY4、CF_SQL_DECIMAL、CF_SQL_NUMERIC、および CF_SQL_BIGINT
• 次のタイプについては、データ値をターゲットデータソースでサポートされる日付に変換できます。CF_SQL_DATE、CF_SQL_TIME、CF_SQL_TIMESTAMP
• その他のタイプでは、maxLength 属性が使用される場合、データ値は指定されている最大長を越えることはできません。

ColdFusion のデバッグ出力では、バインド変数が疑問符 (?) で表示され、クエリーの下に値が使用順に表示されます。

次の表は、JDBC SQL タイプを使用する ColdFusion SQL データタイプのマッピング、および各データベース管理システムのデータタイプを示しています。

<!--- この例では、Course_ID に有効な入力が与えられた場合の cfqueryparam を示します。 --->
<h3>cfqueryparam の例</h3>
<cfset Course_ID = 12>
<cfquery name = "getFirst" dataSource = "cfdocexamples">
   SELECT *
   FROM courses
   WHERE Course_ID = <cfqueryPARAM value = "#Course_ID#"
   CFSQLType = "CF_SQL_INTEGER"> 
</cfquery>
<cfoutput query = "getFirst">
   <p>コース番号 : #Course_ID#<br> 説明 : #descript#</p>
</cfoutput>

<!--- この例では、Course_ID に無効な文字列データがある場合の
   CFQUERYPARAM の使い方を示します。 ----> 
<p>この例では、CFQUERYPARAM タグに渡される値が 
MAXLENGTH 属性の値を越えるので、エラーが発生します。</p> 

<cfset LastName="Peterson; DELETE employees WHERE LastName='Peterson'">
<!------- 文字列を入力する場合は、検証のために MAXLENGTH 属性を
   指定しなければならないことに注意してください。 --------------------------------------------------> 
<cfquery
   name="getFirst" datasource="cfdocexamples"> 
   SELECT *
   FROM employees 
   WHERE LastName=<cfqueryparam 
                        value="#LastName#"
                        cfsqltype="CF_SQL_VARCHAR"
                        maxlength="17"> 
</cfquery> 
<cfoutput 
   query="getFirst">       <p>
      コース番号 : #FirstName# #LastName#
      説明 : #Department# </p> 
</cfoutput>