express.js如何做mysql注入与node-mysql中防止SQL注入方法解析

更新时间：2023年05月02日 09:14:32 作者：薛定谔的大兔纸

这篇文章主要介绍了express.js如何做mysql注入与node-mysql中防止SQL注入方法,结合实例形式分析了express框架使用mysql数据库过程中SQL注入的原理与防范技巧,需要的朋友可以参考下

大家都知道SQL注入对于网站或者服务器来讲都是一个非常危险的问题，如果这一方面没处理好的话网站可能随时给注入了，所以这篇文章就给大家总结了node-mysql中防止SQL注入的几种常用做法，有需要的朋友们可以参考借鉴。

SQL注入简介

SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。

node-mysql中防止SQL注入

为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种：

方法一：使用escape()对传入参数进行编码：

参数编码方法有如下三个：

mysql.escape(param)

connection.escape(param)

pool.escape(param)

例如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法编码规则如下：

Numbers不进行转换；

Booleans转换为true/false；

Date对象转换为'YYYY-mm-dd HH:ii:ss'字符串；

Buffers转换为hex字符串，如X'0fa5'；

Strings进行安全转义；

Arrays转换为列表，如[‘a', ‘b']会转换为'a', ‘b'；

多维数组转换为组列表，如[[‘a', ‘b'], [‘c', ‘d']]会转换为'a', ‘b'), (‘c', ‘d')；

Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串；

undefined/null会转换为NULL；

MySQL不支持NaN/Infinity，并且会触发MySQL错误。

方法二：使用connection.query()的查询参数占位符：

可使用 ? 做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用connection.escape()方法对传入参数进行编码。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程序还可以改写成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三：使用escapeId()编码SQL查询标识符：

如果你不信任用户传入的SQL标识符(数据库、表、字符名)，可以使用escapeId()方法进行编码。最常用于排序等。

escapeId()有如下三个功能相似的方法：

mysql.escapeId(identifier)

connection.escapeId(identifier)

pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
// ...
});

方法四：使用mysql.format()转义参数：

准备查询，该函数会选择合适的转义方法转义参数 mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。

例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

总结对比一下，个人比较喜欢实用方法二中的查询参数占位符方法，使用起来比较简单方便，避免了一堆转义相关的操作。对比来说，如果直接使用SQL语句，则在变量拼接的过程中往往会出现一些转义的问题而导致报错，使用查询参数占位符则不会出现这类问题。

您可能感兴趣的文章:

一文带你了解Node.js有哪些架构模式
Node.js 凭借其非阻塞、事件驱动的架构,已成为构建各种应用程序的流行选择,使用 Node.js 进行开发时,选择正确的架构模式来满足项目需求至关重要,在本文中,我们将探讨几种 Node.js 架构模式并提供示例来说明它们的用法,需要的朋友可以参考下
2023-09-09
详解如何在NodeJS应用程序中处理多个API请求
NodeJS默认是异步的,这意味着它已经能够同时处理多个请求,但它只适用于I/O操作,如HTTP请求、文件系统操作、数据库查询、实时聊天应用等,在处理CPU密集型任务时,可能需要很长时间,这就是为什么NodeJS提供了一些我们将在下面介绍的特定包
2023-12-12
Node爬取大批量文件的方法示例
这篇文章主要介绍了Node爬取大批量文件的方法示例,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2019-06-06
nodejs读写json文件的简单方法(必看)
下面小编就为大家带来一篇nodejs读写json文件的简单方法(必看)。
2017-03-03
Nodejs 发布自己的npm包并制作成命令行工具的实例讲解
今天小编就为大家分享一篇Nodejs 发布自己的npm包并制作成命令行工具的实例讲解，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
2018-05-05
Node.js中的缓冲与流模块详细介绍
这篇文章主要介绍了Node.js中的缓冲与流模块详细介绍,本文讲解了缓冲（buffer）模块、类：Buffer、写入缓冲区、复制缓冲区、流模块等内容,需要的朋友可以参考下
2015-02-02
Node.js学习教程之HTTP/2服务器推送【译】
这篇文章主要给大家介绍了关于Node.js学习教程之HTTP/2服务器推送的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧。
2017-10-10
详解一些适用于Node.js的命名约定
这篇文章主要介绍了详解一些适用于Node.js的命名约定，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2019-12-12
nvm介绍、安装、报错处理及使用详细步骤
所谓nvm就是一个可以让你在同一台机器上安装和切换不同版本node的工具,下面这篇文章主要给大家介绍了关于nvm介绍、安装、报错处理及使用的相关资料,文中通过图文介绍的非常详细,需要的朋友可以参考下
2022-09-09
安装 node-Sass 报错的解决记录(三步解决法)
本文主要介绍了安装 node-Sass 报错的解决记录(三步解决法)，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2023-05-05