Сам спрашивал – сам отвечаю

Я спрашивал как убрать всякую нечисть из URL. Дык, оказывается это делается очень легко – после некоторых экспериментов:

public boolean function onRequestStart(required targetPage)
{
    //Если какая-нибудь падла решится через URL что-нибудь сделать — можно послать её,
    //а можно просто сделать редирект без cgi.query_string как в этом случае
    if(cgi.QUERY_STRING contains "script" ||
        cgi.QUERY_STRING contains "select" ||
        cgi.QUERY_STRING contains "join" ||
        cgi.QUERY_STRING contains "alter" ||
        cgi.QUERY_STRING contains "cookie" ||
        cgi.QUERY_STRING contains "variable" ||
        cgi.QUERY_STRING contains "%3e" ||
        cgi.QUERY_STRING contains "%3c" ||
        cgi.QUERY_STRING contains "&##40;" ||
        cgi.QUERY_STRING contains "&##41;"
      )
    {
        location(url="#arguments.targetPage#", addtoken=false);
        abort;
    }
        return true;
}