在拉斯维加斯的Adobe ColdFusion峰会上，我讨论了ColdFusion开发者在集成大型语言模型（LLM）时面临的AI安全问题。演讲内容包括提示注入、真实攻击案例、过度授权风险及ColdFusion 2025的防护措施，强调了输入验证和限制外部操作的重要性，以降低安全风险。

下周将举办在线ColdFusion开发者安全培训，时间为2025年12月9日至10日，东部时间11am-2pm，内容包括AI安全和CFML代码安全，名额有限，欢迎注册。

本文介绍了2025年12月9日至10日举行的在线ColdFusion开发者安全培训课程，适合所有CFML代码开发者，涵盖多种网络应用安全漏洞，适合初学者和经验丰富的开发者。

我参加了在拉斯维加斯举行的Adobe ColdFusion峰会，讨论ColdFusion的安全性，特别是与AI相关的漏洞。演示中AI拒绝提供巧克力饼干食谱。我的公司Foundeo Inc.赞助了会议，并发放了3.5英寸软盘庆祝ColdFusion的30周年。我还获得了ColdFusion安全冠军奖。

彼得·弗雷塔格是纽约中部的丈夫和父亲，拥有Foundeo Inc.，专注于ColdFusion咨询与产品。他常在全国会议上发言，并在《福布斯》和《科技Crunch》等刊物上发表文章，拥有克拉克森大学软件工程学士学位。

客户使用专用邮箱处理邮件和附件，之前开发了批量下载EML文件并提取附件的功能。研究替代方案时发现Forward Email，提供免费支持无限域名和Webhook的邮件转发。配置时需添加TXT记录，增强计划每月3美元，解锁API访问。最终设置Taffy API端点，直接将邮件以JSON格式保存到本地文件系统，避免数据库依赖。

我在华盛顿DC的Adobe ColdFusion Summit East会议上发表了关于“保护Adobe ColdFusion应用程序”的演讲，讨论了Mitre的CWE Top 25列表，并分析了与CVE相关的弱点，重点解决了五个因Java内存安全性引发的问题。

Adobe ColdFusion 2025的新函数listGetDuplicates支持去重和空值处理，作者探讨了将其移植到旧版ColdFusion的难度，并分享了相关代码。

在开发ColdFusion colorTools CFC时，发现isValid()不支持“hex”类型。虽然验证十六进制字符串不难，但需要处理以“#”或“0x”开头的值，并明确测试6个字符的十六进制颜色值。

Adobe上周发布了ColdFusion 2025，移除了多个不再支持的功能，包括parameterExists和htmlEditFormat函数，以及一些脚本组件。开发者需在更新前测试代码，并注意Fixinator 6的兼容性检测。

我们的Microsoft IIS服务器仅支持IPv4，IP地址记录为VARCHAR(15)。尽管云服务商支持IPv6，但我们通过WAF获取IPv6地址。由于SQL BIGINT限制，我们决定使用BINARY(16)存储IPv4和IPv6地址，并使用Java库IPAddress进行一致的日志格式化。

标准化和验证至关重要，但客户和访客不一定遵循ISO标准。我们采用E.164国际标准简化与第三方短信服务的集成，但客户对电话号码格式的偏好各异。为适应这些变化，我们使用动态服务器端格式化，并利用CFLib库和CFML脚本优化美国电话号码格式，生成可点击链接。

文章讨论了Zint条形码生成器及其Java移植版OkapiBarcode。Zint支持50种条形码格式，作者在项目中需要生成QR码，通常使用QRCode.js，但对多页生成的可靠性存疑。为优化生成逻辑，作者扩展了命令行字符串生成，并提供了生成SVG格式QR码的CFML示例代码。

在拉斯维加斯的Adobe ColdFusion峰会上，我分享了20种保护ColdFusion的方法，涵盖了SQL注入等安全主题，并介绍了一些新内容。演讲幻灯片可下载。

Adobe发布了ColdFusion的安全更新和热修复，修复了一个关键漏洞。最新的安全更新是2024年9月的ColdFusion 2023安全更新10和ColdFusion 2021安全更新16。更新主要更新了Tomcat版本。没有更新连接器或软件包。修复了之前更新引起的错误。