node-mysql中防止SQL注入的方法总结
SQL注入简介
SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。
node-mysql中防止SQL注入
为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种：
方法一：使用escape()对传入参数进行编码：
参数编码方法有如下三个：
mysql.escape(param) connection.escape(param) pool.escape(param)
例如：
var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
escape()方法编码规则如下：
Numbers不进行转换；
Booleans转换为true/false；
Date对象转换为'YYYY-mm-dd HH:ii:ss'字符串；
Buffers转换为hex字符串，如X'0fa5'；
Strings进行安全转义；
Arrays转换为列表，如[‘a', ‘b']会转换为'a', ‘b'；
多维数组转换为组列表，如[[‘a', ‘b'], [‘c', ‘d']]会转换为'a', ‘b'), (‘c', ‘d')；
Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串；
undefined/null会转换为NULL；
MySQL不支持NaN/Infinity，并且会触发MySQL错误。
方法二：使用connection.query()的查询参数占位符：
可使用 ? 做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用 connection.escape() 方法对传入参数进行编码。
如：
var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
上面程序还可以改写成如下：
var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
方法三： 使用escapeId()编码SQL查询标识符：
如果你不信任用户传入的SQL标识符（数据库、表、字符名），可以使用escapeId()方法进行编码。最常用于排序等。
escapeId()有如下三个功能相似的方法：
mysql.escapeId(identifier) connection.escapeId(identifier) pool.escapeId(identifier)
例如：
var sorter = 'date';
var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
// ...
});
方法四： 使用mysql.format()转义参数：
准备查询，该函数会选择合适的转义方法转义参数 mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。
例如：
var userId = 1; var sql = "SELECT * FROM ?? WHERE ?? = ?"; var inserts = ['users', 'id', userId]; sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1
总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作带来一定的帮助，如果有疑问大家可以留言交流。
相关文章
详解Navicat Premium 15 无限试用脚本的方法
这篇文章主要介绍了Navicat Premium 15 无限试用脚本的方法，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友参考下吧2020-11-11
这篇文章主要介绍了数据设计之权限的实现，文章围绕主题展开详细的内容介绍，具有一定的参考价值，需要的朋友可以参考一下2022-08-08
这篇文章主要为大家介绍了openGauss的SCHEMA的原理及管理分析，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2023-02-02
关于分页 SQL 的资料许多，有的使用存储过程，有的使用游标。本人不喜欢使用游标，我觉得它耗资、效率低；使用存储过程是个不错的选择，因为存储过程是颠末预编译的，执行效率高，也更灵活2014-08-08![[转载]让SQL运行得更快](//img.jbzj.com/images/xgimg/bcimg4.png)
笔者在工作实践中发现，不良的SQL往往来自于不恰当的索引设计、不充份的连接条件和不可优化的where子句。在对它们进行适当的优化后，其运行速度有了明显地提高！下面我将从这三个方面分别进行总结2007-02-02
这篇文章主要介绍了mycat在windows环境下的安装和启动过程，需要的朋友参考下吧2018-03-03
公司要在openEuler系统中安装openGauss数据库,经过几天的查资料,终于是安装成功了,并且能在navicat中远程连接使用,本文给大家介绍如何使用navicat远程连接openGauss,感兴趣的朋友跟随小编一起看看吧2023-10-10
这篇文章主要介绍了Linux数据库的创建 导入导出 以及一些基本指令,需要的朋友可以参考下2019-08-08
大数据量的问题是很多面试笔试中经常出现的问题，比如baidu google 腾讯这样的一些涉及到海量数据的公司经常会问到。2010-11-11
这篇文章主要为大家介绍了一款颜值与实用性并存的数据库建模工具Chiner，推荐大家使用，有需要的朋友可以共同学习参考下，希望能够有所帮助，祝大家多多进步2022-03-03
![[转载]让SQL运行得更快](http://img.jbzj.com/images/xgimg/bcimg4.png)
最新评论