共計(jì) 2125 個(gè)字符，預(yù)計(jì)需要花費(fèi) 6 分鐘才能閱讀完成。
自動(dòng)寫代碼機(jī)器人，免費(fèi)開(kāi)通
node-mysql 中怎么防止 SQL 注入，很多新手對(duì)此不是很清楚，為了幫助大家解決這個(gè)難題，下面丸趣 TV 小編將為大家詳細(xì)講解，有這方面需求的人可以來(lái)學(xué)習(xí)下，希望你能有所收獲。
SQL 注入簡(jiǎn)介
SQL 注入是比較常見(jiàn)的網(wǎng)絡(luò)攻擊方式之一，它不是利用操作系統(tǒng)的 BUG 來(lái)實(shí)現(xiàn)攻擊，而是針對(duì)程序員編程時(shí)的疏忽，通過(guò) SQL 語(yǔ)句，實(shí)現(xiàn)無(wú)帳號(hào)登錄，甚至篡改數(shù)據(jù)庫(kù)。
node-mysql 中防止 SQL 注入
為了防止 SQL 注入，可以將 SQL 中傳入?yún)?shù)進(jìn)行編碼，而不是直接進(jìn)行字符串拼接。在 node-mysql 中，防止 SQL 注入的常用方法有以下四種：
方法一：使用 escape()對(duì)傳入?yún)?shù)進(jìn)行編碼：
參數(shù)編碼方法有如下三個(gè)：
mysql.escape(param)
connection.escape(param)
pool.escape(param)例如：
var userId = 1, name = test
var query = connection.query(SELECT * FROM users WHERE id = + connection.escape(userId) + , name = + connection.escape(name), function(err, results) {
// ...
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = testescape()方法編碼規(guī)則如下：
Numbers 不進(jìn)行轉(zhuǎn)換；
Booleans 轉(zhuǎn)換為 true/false；
Date 對(duì)象轉(zhuǎn)換為 YYYY-mm-dd HH:ii:ss 字符串；
Buffers 轉(zhuǎn)換為 hex 字符串，如 X 0fa5；
Strings 進(jìn)行安全轉(zhuǎn)義；
Arrays 轉(zhuǎn)換為列表，如 [‘a(chǎn) ,‘b] 會(huì)轉(zhuǎn)換為 a ,‘b；
多維數(shù)組轉(zhuǎn)換為組列表，如 [[‘a(chǎn) ,‘b], [‘c ,‘d]] 會(huì)轉(zhuǎn)換為 a ,‘b ), (‘c ,‘d)；
Objects 會(huì)轉(zhuǎn)換為 key=value 鍵值對(duì)的形式。嵌套的對(duì)象轉(zhuǎn)換為字符串；
undefined/null 會(huì)轉(zhuǎn)換為 NULL；
MySQL 不支持 NaN/Infinity，并且會(huì)觸發(fā) MySQL 錯(cuò)誤。
方法二：使用 connection.query()的查詢參數(shù)占位符：
可使用 ? 做為查詢參數(shù)占位符。在使用查詢參數(shù)占位符時(shí)，在其內(nèi)部自動(dòng)調(diào)用 connection.escape() 方法對(duì)傳入?yún)?shù)進(jìn)行編碼。
如：
var userId = 1, name = test
var query = connection.query(SELECT * FROM users WHERE id = ?, name = ? , [userId, name], function(err, results) {
// ...
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = test上面程序還可以改寫成如下：
var post = {userId: 1, name: test
var query = connection.query(SELECT * FROM users WHERE ? , post, function(err, results) {
// ...
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = test方法三：使用 escapeId()編碼 SQL 查詢標(biāo)識(shí)符：
如果你不信任用戶傳入的 SQL 標(biāo)識(shí)符（數(shù)據(jù)庫(kù)、表、字符名），可以使用 escapeId()方法進(jìn)行編碼。最常用于排序等。
escapeId()有如下三個(gè)功能相似的方法：
mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)例如：
var sorter = date
var sql = SELECT * FROM posts ORDER BY + connection.escapeId(sorter);
connection.query(sql, function(err, results) { // ...});方法四：使用 mysql.format()轉(zhuǎn)義參數(shù)：
準(zhǔn)備查詢，該函數(shù)會(huì)選擇合適的轉(zhuǎn)義方法轉(zhuǎn)義參數(shù) mysql.format()用于準(zhǔn)備查詢語(yǔ)句，該函數(shù)會(huì)自動(dòng)的選擇合適的方法轉(zhuǎn)義參數(shù)。
例如：
var userId = 1;
var sql = SELECT * FROM ?? WHERE ?? = ?
var inserts = [users , id , userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1看完上述內(nèi)容是否對(duì)您有幫助呢？如果還想對(duì)相關(guān)知識(shí)有進(jìn)一步的了解或閱讀更多相關(guān)文章，請(qǐng)關(guān)注丸趣 TV 行業(yè)資訊頻道，感謝您對(duì)丸趣 TV 的支持。
向 AI 問(wèn)一下細(xì)節(jié)
