菜鸟学堂 服务器常用软件 主机测评网在线工具
快捷导航
广告　商业广告，理性选择
广告　商业广告，理性选择
广告　商业广告，理性选择
您的位置：首页 → 网络编程 → JavaScript → node.js → Node.js查询MySQL数据库

Node.js数据库操作之查询MySQL数据库（二）

 更新时间：2017年03月04日 16:23:09   作者：Corner  
这篇文章主要介绍了Node.js数据库操作之查询MySQL数据库的相关资料，文中介绍的非常详细，对大家学习或者使用mysql能带来一定的帮助，需要的朋友可以参考借鉴，下面来一起看看吧。

GPT4.0+Midjourney绘画+国内大模型 会员永久免费使用！
【 如果你想靠AI翻身，你先需要一个靠谱的工具！ 】

前言

我们在上一篇文章《Node.js数据库操作之连接MySQL数据库（一）》中已经学习了Nodejs连接MySQL数据库的几种方法，数据库连接上了之后就需要对数据库进行查询。本篇文章介绍一下查询MySQL数据库的方法。下面话不多说，来看看详细的介绍吧。

查询方式

上一篇文章中，我们用到了一种查询数据库的最基本的方法：connection.query(sqlString, callback) 。

第一个参数是一个SQL语句，可以是任意的数据库语句，而第二个参数是一个回调函数，查询结果通过回调参数的方式返回。

?
1
2
3
4
5
6
connection.query(
 'select * from book where author = "xyf" and country = "china"',
 function(err, result) {
 console.log(result);
 }
);
登录后复制免费讲解

这是最简单的查询方式，但是存在着两个问题，一个是需要拼接字符串，比较繁琐；另一个是容易被sql注入攻击，因此我们有了第二种查询方式。

占位符注入查询

第二种查询方式是采用了占位符的形式connection.query(sqlString, values, callback) ，这样就不需要进行恶心的字符串的拼接了。

?
1
2
3
4
5
6
7
connection.query(
 'select * from book where author = ? and country = ?',
 ['xyf', 'china'],
 function(err, result) {
 console.log(result);
 }
);
登录后复制免费讲解

使用对象查询方式

第三种查询方式我们将查询语句和查询值组合成一个对象来进行查询。它的形式是这样的：connection.query(object, callback) 。

?
1
2
3
4
5
6
7
8
9
10
connection.query(
 {
 sql: 'select * from book where author = ? and country = ?',
 values: ['xyf', 'china'], // 作为对象的属性
 timeout: 40000,
 },
 function(err, result) {
 console.log(result);
 }
);
登录后复制免费讲解

组合查询方式

将第二种和第三种方式可以结合起来使用，查询值作为query方法的一个参数，而不是作为对象中的一个属性。

?
1
2
3
4
5
6
7
8
9
10
11
connection.query(
 {
 sql: 'select * from book where author = ? and country = ?',
 timeout: 40000,
 // ['corner', 'us'] // 如果同时设置，那么此时不会生效
 },
 ['xyf', 'china'], // 作为query函数的一个参数
 function(err, result) {
 console.log(result);
 }
);
登录后复制免费讲解

需要注意的是，如果我们既将查询值作为对象的属性，又将其作为query函数的参数，这个时候函数中的参数将会覆盖对象的属性，也就是说此时只有参数的值生效。

解析查询值

在进行数据库查询时，有一个重要的原则就是永远不要相信用户的输入。为什么不能相信用户的输入呢，首先让我们来了解一下SQL注入攻击。

SQL注入攻击

所谓的SQL注入攻击，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。由于笔者并不是从事数据库方面的工作，也不是数据库方面的砖家，所以只能通过一个简单的DEMO来演示一下SQL注入攻击。

假如我们拼接的SQL语句是这样的

?
1
2
var username = 'xyf';
var sql = 'select * from book where author = "'+username+'"';
登录后复制免费讲解

这里我们期待用户输入的username是Jack或者LiLi之类的，但是用户说我偏不，我就输入一串恶意代码：

?
1
2
var username = '"1 or 1=1';
var sql = 'select * from book where author = "'+username+'"';
登录后复制免费讲解

最后我们拼接的查询语句就变成了下面这样的：

?
1
select * from book where author = "" or 1=1
登录后复制免费讲解

如果读者对SQL语句有一些基本了解，就会知道如果把这段查询语句放到数据库中进行查询，那么所有用户的信息都被查出来了，但是这并不是我们想要看到的结果。

避免SQL注入攻击

那么怎么才能避免SQL注入攻击呢？mysql提供了两种方法给我们，第一种方法就是每次查询时都把用户输入的数据都用escape()函数解析一下，有点类似预处理语句。

?
1
2
3
4
5
6
7
8
9
var authorname = 'user input';
connection.escape(authorname);
// 或者使用mysql.escape(authorname);
connection.query(
 'select * from book where author = "'+authorname+'"',
 function(err, result) {
 console.log(result);
 }
);
登录后复制免费讲解

第二种方法就是在查询时通过上面说到的占位符注入查询的查询方式来进行查询。但它内部的实现也是通过上面所说的escape()方法将用户输入解析了一下。推荐使用第二种方法来得简单快捷。

多语句查询

mysql还支持多语句查询，但是由于某些安全原因（官方解释是因为如果值没有正确解析会导致SQL注入攻击）默认是被禁止的。那么让我们来打开这个“潘多拉魔盒”把。

在创建数据库连接时首先把这个功能开启。

?
1
2
3
4
let connection = mysql.createConnection({
 // 其他配置
 multipleStatements: true,
});
登录后复制免费讲解

然后我们就可以使用多语句查询了。

?
1
2
3
4
5
6
7
8
9
10
11
connection.query(
 {
 sql: `select * from book where username = ?;
  select * from book where username = ?;`,
 },
 ['ace','xyf'],
 function(err, rows, fields) {
 if (err) throw err;
 console.log('The solution is: ', rows);
 }
);
登录后复制免费讲解

查询结果

通过查询语句返回的结果以数组的形式返回，如果是单语句查询，数组就是一个纯对象数组[obj1,obj2,...]，数组中的每一个对象都是数据库中每一行的数据，只是以对象的方式返回。如果没有查询到数据，那么数组的长度就为0。

但是如果是多语句(m条语句)的方式查询，虽然返回也是一个数组，但是数组中嵌套有n个数组，n的取值取决于你查询语句的条数m(即n=m)。

总结

由于官方文档比较零碎，因此整理得不是很到位，有问题的地方希望大家指正。以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作能带来一定的帮助，如果有疑问大家可以留言交流。

您可能感兴趣的文章:
蓄力AI

微信公众号搜索 “ 脚本之家 ” ，选择关注

程序猿的那些事、送书等活动等着你

原文链接：http://xieyufei.com/2016/12/05/Nodejs-Query-Mysql.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若内容造成侵权/违法违规/事实不符，请将相关资料发送至 reterry123@163.com 进行投诉反馈，一经查实，立即处理！

相关文章

  • node.js读写json文件的方法

    node.js读写json文件的方法

    这篇文章介绍了node.js读写json文件的方法，文中通过示例代码介绍的非常详细。对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
    2022-06-06
  • nodejs中实现阻塞实例

    nodejs中实现阻塞实例

    这篇文章主要介绍了nodejs中实现阻塞实例,本文直接给出实例代码,需要的朋友可以参考下
    2015-03-03
  • Node.js调用fs.renameSync报错（Error: EXDEV, cross-device link not permitted）

    Node.js调用fs.renameSync报错（Error: EXDEV, cross-device link not

    这篇文章主要介绍了Node.js调用fs.renameSync报错（Error: EXDEV, cross-device link not permitted）,非常具有实用价值，需要的朋友可以参考下
    2017-12-12
  • Node.js Process对象详解

    Node.js Process对象详解

    本文详细讲解了Node.js Process对象，文中通过示例代码介绍的非常详细。对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
    2022-08-08
  • node.js 抓取代理ip实例代码

    node.js 抓取代理ip实例代码

    这篇文章主要介绍了node.js 抓取代理ip实例代码的相关资料,需要的朋友可以参考下
    2017-04-04
  • 如何用node优雅地打印全链路日志

    如何用node优雅地打印全链路日志

    这篇文章主要给大家介绍了关于如何用node优雅地打印全链路日志的相关资料,文中通过实例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
    2022-03-03
  • 在Node.js中将SVG图像转换为PNG，JPEG，TIFF，WEBP和HEIF格式的方法

    在Node.js中将SVG图像转换为PNG，JPEG，TIFF，WEBP和HEIF格式的方法

    这篇文章主要介绍了在Node.js中将SVG图像转换为PNG，JPEG，TIFF，WEBP和HEIF格式的方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2019-08-08
  • node+socket实现简易聊天室功能

    node+socket实现简易聊天室功能

    这篇文章主要为大家详细介绍了node+socket实现简易聊天室功能，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2021-07-07
  • nodejs调取微信收货地址的方法

    nodejs调取微信收货地址的方法

    这篇文章主要为大家详细介绍了nodejs调取微信收货地址的方法，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2017-12-12
  • 基于Node.js模板引擎教程-jade速学与实战1

    基于Node.js模板引擎教程-jade速学与实战1

    下面小编就为大家带来一篇基于Node.js模板引擎教程-jade速学与实战1。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2017-09-09

最新评论