当前位置：首页 > 资讯 > 技术文档

node-mysql中防止SQL注入的方法总结

时间：2020-04-11 10:50 编辑：来源：阅读：
扫一扫，手机访问

摘要：node-mysql中防止SQL注入的方法总结

[b]SQL注入简介[/b] SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。 [b]node-mysql中防止SQL注入[/b] 为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种： [b]方法一：使用escape()对传入参数进行编码：[/b] [b]参数编码方法有如下三个：[/b]

mysql.escape(param)
connection.escape(param)
pool.escape(param)

[b]例如：[/b]

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

[b]escape()方法编码规则如下：[/b] Numbers不进行转换； Booleans转换为true/false； Date对象转换为'YYYY-mm-dd HH:ii:ss'字符串； Buffers转换为hex字符串，如X'0fa5'； Strings进行安全转义； Arrays转换为列表，如[‘a', ‘b']会转换为'a', ‘b'；多维数组转换为组列表，如[[‘a', ‘b'], [‘c', ‘d']]会转换为'a', ‘b'), (‘c', ‘d')； Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串； undefined/null会转换为NULL； MySQL不支持NaN/Infinity，并且会触发MySQL错误。 [b]方法二：使用connection.query()的查询参数占位符：[/b] 可使用 ? 做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用[code] connection.escape() [/code]方法对传入参数进行编码。如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程序还可以改写成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

[b]方法三：使用escapeId()编码SQL查询标识符：[/b] 如果你不信任用户传入的SQL标识符（数据库、表、字符名），可以使用escapeId()方法进行编码。最常用于排序等。 [code]escapeId()[/code]有如下三个功能相似的方法：

mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});

[b]方法四：使用mysql.format()转义参数：[/b] 准备查询，该函数会选择合适的转义方法转义参数　　 [code]mysql.format()[/code]用于准备查询语句，该函数会自动的选择合适的方法转义参数。例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

[b]总结[/b] 以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作带来一定的帮助，如果有疑问大家可以留言交流。

全部评论(0)

上一篇：hive函数简介
下一篇：让你的insert操作速度增加1000倍的方法

资讯排行榜
更多>>