当前位置:首页 > 编程技术 > node.js > 正文内容

node-mysql防止SQL注入的方法

曾经3年前 (2022-05-02)node.js1150

SQL注入简介 SQL注入是比较常见的网络攻击方式之一,它不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过SQL语句,实现无帐号登录,甚至篡改数据库。

sql注入简介

sql注入是比较常见的网络攻击方式之一,它不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过sql语句,实现无帐号登录,甚至篡改数据库

node-MysqL中防止sql注入

为了防止sql注入,可以将sql中传入参数进行编码,而不是直接进行字符串拼接。在node-MysqL中,防止sql注入的常用方法有以下四种:

方法一:使用escape()对传入参数进行编码:

参数编码方法有如下三个:

MysqL.escape(param)
connection.escape(param)
pool.escape(param)

例如:

var userId = 1,name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ',name = ' + connection.escape(name),function(err,results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1,name = 'test'

escape()方法编码规则如下:

     Numbers不进行转换;

     Booleans转换为true/false;

     Date对象转换为'YYYY-mm-dd HH:ii:ss'字符串;

     Buffers转换为hex字符串,如X'0fa5';

     Strings进行安全转义;

     Arrays转换为列表,如[‘a',‘b']会转换为'a',‘b';

     多维数组转换为组列表,如[[‘a',‘b'],[‘c',‘d']]会转换为'a',‘b'),(‘c',‘d');

     Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串;

     undefined/null会转换为NULL;

     MysqL不支持NaN/Infinity,并且会触发MysqL错误

方法二:使用connection.query()的查询参数占位符:

可使用 ? 做为查询参数占位符。在使用查询参数占位符时,在其内部自动调用 connection.escape() 方法对传入参数进行编码。

如:

var userId = 1,name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?,name = ?',[userId,name],name = 'test'

上面程序还可以改写成如下:


var post = {userId: 1,name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?',post,name = 'test'


方法三: 使用escapeId()编码SQL查询标识符:

如果你不信任用户传入的sql标识符(数据库、表、字符名),可以使用escapeId()方法进行编码。最常用于排序等。

escapeId()有如下三个功能相似的方法

MysqL.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)


例如:

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql,results) {
 // ...
});


方法四: 使用MysqL.format()转义参数:

准备查询,该函数会选择合适的转义方法转义参数    MysqL.format()用于准备查询语句,该函数自动的选择合适的方法转义参数。

例如:

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users','id',userId];
sql = MysqL.format(sql,inserts); // SELECT * FROM users WHERE id = 1


总结

以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作带来一定的帮助,如果有疑问大家可以留言交流。







扫描二维码推送至手机访问。

版权声明:本文由珍惜发布,如需转载请注明出处。

本文链接:https://www.zp68.com/article/10.html

分享给朋友:

“node-mysql防止SQL注入的方法” 的相关文章

发表评论

访客

看不清,换一张

◎欢迎参与讨论,请在这里发表您的看法和观点。