node-mysql中防止SQL注入的方法總結，node-mysqlsql

node-mysql中防止SQL注入的方法總結，node-mysqlsql

SQL注入簡介

SQL注入是比較常見的網路攻擊方式之一，它不是利用作業系統的BUG來實現攻擊，而是針對程式員編程時的疏忽，通過SQL語句，實現無帳號登入，甚至篡改資料庫。

node-mysql中防止SQL注入

為了防止SQL注入，可以將SQL中傳入參數進行編碼，而不是直接進行字串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：

方法一：使用escape()對傳入參數進行編碼：

參數編碼方法有如下三個：

mysql.escape(param)connection.escape(param)pool.escape(param)

例如：

var userId = 1, name = 'test';var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {  // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法編碼規則如下：

     Numbers不進行轉換；

     Booleans轉換為true/false；

     Date對象轉換為'YYYY-mm-dd HH:ii:ss'字串；

     Buffers轉換為hex字串，如X'0fa5'；

     Strings進行安全轉義；

     Arrays轉換為列表，如[‘a', ‘b']會轉換為'a', ‘b'；

     多維陣列轉換為組列表，如[[‘a', ‘b'], [‘c', ‘d']]會轉換為'a', ‘b'), (‘c', ‘d')；

     Objects會轉換為key=value索引值對的形式。嵌套的對象轉換為字串；

     undefined/null會轉換為NULL；

     MySQL不支援NaN/Infinity，並且會觸發MySQL錯誤。

方法二：使用connection.query()的查詢參數預留位置：

可使用 ? 做為查詢參數預留位置。在使用查詢參數預留位置時，在其內部自動調用 connection.escape() 方法對傳入參數進行編碼。

如：

var userId = 1, name = 'test';var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {  // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程式還可以改寫成如下：

var post = {userId: 1, name: 'test'};var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {  // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三： 使用escapeId()編碼SQL查詢標識符：

如果你不信任使用者傳入的SQL標識符（資料庫、表、字元名），可以使用escapeId()方法進行編碼。最常用於排序等。

escapeId()有如下三個功能相似的方法：

mysql.escapeId(identifier)connection.escapeId(identifier)pool.escapeId(identifier)

例如：

var sorter = 'date';var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);connection.query(sql, function(err, results) { // ...});

方法四： 使用mysql.format()轉義參數：

準備查詢，該函數會選擇合適的轉義方法轉義參數 　　 mysql.format()用於準備查詢語句，該函數會自動的選擇合適的方法轉義參數。

例如：

var userId = 1;var sql = "SELECT * FROM ?? WHERE ?? = ?";var inserts = ['users', 'id', userId];sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

總結

以上就是這篇文章的全部內容了，希望本文的內容對大家的學習或者工作帶來一定的協助，如果有疑問大家可以留言交流。