在node.js中防止SQL注入的常用方法有以下四种:
一:使用escape()对传入参数进行编码:
方法有如下三个:
mysql.escape(param)connection.escape(param)pool.escape(param)
例如:
var userId = 1, name = 'test';var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
escape()方法编码规则如下:
Numbers不进行转换;Booleans转换为true/false;Date对象转换为’YYYY-mm-dd HH:ii:ss’字符串;Buffers转换为hex字符串,如X’0fa5’;Strings进行安全转义;Arrays转换为列表,如[‘a’, ‘b’]会转换为’a’, ‘b’;多维数组转换为组列表,如[[‘a’, ‘b’], [‘c’, ‘d’]]会转换为’a’, ‘b’), (‘c’, ‘d’);Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串;undefined/null会转换为NULL;MySQL不支持NaN/Infinity,并且会触发MySQL错误。
二:使用connection.query()的查询参数占位符:
可使用 ? 做为参数占位符。在使用查询参数占位符时,在其内部自动调用 connection.escape() 方法对传入参数进行编码。
如:
var userId = 1, name = 'test';var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
对象形式:
var post = {userId: 1, name: 'test'};var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
三:使用escapeId()编码SQL查询标识符:
如果你不信任用户传入的SQL标识符(数据库、表、字符名),可以使用escapeId()方法进行编码。
最常用于排序等。escapeId()有如下三个功能相似的方法:
mysql.escapeId(identifier)connection.escapeId(identifier)pool.escapeId(identifier)
例如:
var sorter = 'date';var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);connection.query(sql, function(err, results) {
// ...});
四: 使用mysql.format()预处理模式转义参数:
准备查询,该函数会选择合适的转义方法转义参数 mysql.format()用于准备查询语句,该函数会自动的选择合适的方法转义参数。
例如:
var userId = 1;var sql = "SELECT * FROM ?? WHERE ?? = ?";var inserts = ['users', 'id', userId];sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1