脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 数据库 → 数据库其它 → node-mysql中防止SQL注入的方法

node-mysql中防止SQL注入的方法总结

 更新时间：2016年10月11日 14:11:45   投稿：daisy  
大家都知道SQL注入对于网站或者服务器来讲都是一个非常危险的问题，如果这一方面没处理好的话网站可能随时给注入了，所以这篇文章就给大家总结了node-mysql中防止SQL注入的几种常用做法，有需要的朋友们可以参考借鉴。

SQL注入简介

SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。

node-mysql中防止SQL注入

为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种：

方法一：使用escape()对传入参数进行编码：

参数编码方法有如下三个：

mysql.escape(param)
connection.escape(param)
pool.escape(param)

例如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法编码规则如下：

     Numbers不进行转换；

     Booleans转换为true/false；

     Date对象转换为'YYYY-mm-dd HH:ii:ss'字符串；

     Buffers转换为hex字符串，如X'0fa5'；

     Strings进行安全转义；

     Arrays转换为列表，如[‘a', ‘b']会转换为'a', ‘b'；

     多维数组转换为组列表，如[[‘a', ‘b'], [‘c', ‘d']]会转换为'a', ‘b'), (‘c', ‘d')；

     Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串；

     undefined/null会转换为NULL；

     MySQL不支持NaN/Infinity，并且会触发MySQL错误。

方法二：使用connection.query()的查询参数占位符：

可使用 ? 做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用 connection.escape() 方法对传入参数进行编码。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程序还可以改写成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三： 使用escapeId()编码SQL查询标识符：

如果你不信任用户传入的SQL标识符（数据库、表、字符名），可以使用escapeId()方法进行编码。最常用于排序等。

escapeId()有如下三个功能相似的方法：

mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});

方法四： 使用mysql.format()转义参数：

准备查询，该函数会选择合适的转义方法转义参数 　　 mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。

例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作带来一定的帮助，如果有疑问大家可以留言交流。

您可能感兴趣的文章:

相关文章

  • 14张图看懂什么是区块链技术

    14张图看懂什么是区块链技术

    这篇文章主要为大家分享了14张图，帮助大家看懂什么是区块链技术，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2018-01-01
  • 在PostgreSQL中使用数组时值得注意的一些地方

    在PostgreSQL中使用数组时值得注意的一些地方

    这篇文章主要介绍了在PostgreSQL中使用数组时值得注意的一些地方,包括如何提高输入性能,需要的朋友可以参考下
    2015-04-04
  • Windows环境下安装达梦数据库的完整步骤

    Windows环境下安装达梦数据库的完整步骤

    达梦数据库的安装大致分为Windows和Linux版本,本文将以dm8 企业版 Windows_64位 环境为例,为大家介绍一下达梦数据库的具体安装步骤吧
    2025-03-03
  • 使用Navicat连接opengauss数据库完整步骤(详细图文)

    使用Navicat连接opengauss数据库完整步骤(详细图文)

    Navicat是一套快速、可靠并价格相当便宜的数据库管理工具,专为简化数据库的管理及降低系统管理成本而设,下面这篇文章主要给大家介绍了关于使用Navicat连接opengauss数据库的完整步骤,需要的朋友可以参考下
    2024-02-02
  • 简单聊聊SQL注入的原理以及一般步骤

    简单聊聊SQL注入的原理以及一般步骤

    所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令,下面这篇文章主要给大家介绍了关于SQL注入的原理以及一般步骤的相关资料,需要的朋友可以参考下
    2022-02-02
  • 超大数据量存储常用数据库分表分库算法总结

    超大数据量存储常用数据库分表分库算法总结

    这篇文章主要介绍了超大数据量存储常用数据库分表分库算法总结,本文讲解了按自然时间来分表/分库、按数字类型hash分表/分库、按md5值来分表/分库三种方法,以及分表所带来的问题探讨,需要的朋友可以参考下
    2015-07-07
  • 大数据开发phoenix连接hbase流程详解

    大数据开发phoenix连接hbase流程详解

    HBase是一个分布式的、面向列的开源数据库，该技术来源于 Fay Chang 所撰写的Google论文“Bigtable：一个结构化数据的分布式存储系统”。就像Bigtable利用了Google文件系统（File System）所提供的分布式数据存储一样，HBase在Hadoop之上提供了类似于Bigtable的能力
    2022-11-11
  • 浅谈为什么数据库字段建议设置为NOT NULL

    浅谈为什么数据库字段建议设置为NOT NULL

    本文主要介绍了MySQL数据库中将字段设置为NOT NULL的性能和优缺点,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
    2024-12-12
  • 几种常用DB驱动和DB连接串小结

    几种常用DB驱动和DB连接串小结

    几种常用DB驱动和DB连接串，方便大家用各种程序，连接数据库。
    2009-12-12
  • StarRocks数据库查询加速及Colocation Join工作原理

    StarRocks数据库查询加速及Colocation Join工作原理

    本文详细解释了StarRocks数据库中数据的分区和分桶策略,重点介绍了ColocationJoin的工作原理,即如何通过相同分桶列和副本数确保在本地进行Join操作,从而提升查询性能,感兴趣的朋友一起看看吧
    2025-03-03

最新评论