首頁  >  文章  >  web前端  >  node-mysql中防止SQL注入的方法

node-mysql中防止SQL注入的方法

不言
不言原創
2018-06-30 11:38:542953瀏覽

大家都知道SQL注入對於網站或伺服器來講都是一個非常危險的問題,如果這一方面沒處理好的話網站可能隨時給注入了,所以這篇文章就給大家總結了node-mysql中防止SQL注入的幾種常用做法,有需要的朋友可以參考借鏡。

SQL注入簡介

SQL注入是比較常見的網路攻擊方式之一,它不是利用作業系統的BUG來實現攻擊,而是針對程式設計師程式設計時的疏忽,透過SQL語句,實現無帳號登錄,甚至竄改資料庫。

node-mysql中防止SQL注入

#為了防止SQL注入,可以將SQL傳入參數編碼,而不是直接進行字串拼接。在node-mysql中,防止SQL注入的常用方法有以下四種:

方法一:使用escape()對傳入參數進行編碼:

#參數編碼方法有以下三個:

mysql.escape(param)
connection.escape(param)
pool.escape(param)

例如:

#
var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法編碼規則如下:

     Numbers不轉換;

     Booleans轉換為true/false;

     Date物件轉換為'YYYY-mm-dd HH:ii:ss'字串;

     Buffers轉換為hex字串,如X'0fa5';

     Strings進行安全轉義;

     Arrays轉換為列表,如['a', 'b']會轉換為'a ', 'b';

     多維數組轉換為群組列表,如[['a', 'b'], ['c', 'd']]會轉換為'a' , 'b'), ('c', 'd');

     Objects會轉換為key=value鍵值對的形式。嵌套的物件轉換為字串;

     undefined/null會轉換為NULL;

##     MySQL不支援NaN/Infinity,並且會觸發MySQL錯誤。


方法二:使用connection.query()的查詢參數佔位符:

可使用? 做成查詢參數佔位符。在使用查詢參數佔位符時,在其內部自動呼叫

connection.escape() 方法對傳入參數進行編碼。

如:

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程式也可以改寫成如下:

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三: 使用escapeId()編碼SQL查詢識別碼:

#如果你不信任使用者傳入的SQL識別碼(資料庫、表、字元名),可以使用escapeId()方法編碼。最常用於排序等。

escapeId()有以下三個功能相似的方法:

#

mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)

##例如:

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});

方法四: 使用mysql.format()轉義參數:準備查詢,函數會選擇適當的轉義方法轉義參數

mysql.format()

用於準備查詢語句,該函數會自動的選擇適當的方法轉義參數。 例如:

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

以上就是本文的全部內容,希望對大家的學習有所幫助,更多相關內容請關注PHP中文網!

相關推薦:

關於node.js中fs.stat與fs.fstat的差異

NodeJs form-data格式傳輸檔案的方法


關於Nodejs服務端字元編解碼與亂碼的處理


以上是node-mysql中防止SQL注入的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章!

陳述:
本文內容由網友自願投稿,版權歸原作者所有。本站不承擔相應的法律責任。如發現涉嫌抄襲或侵權的內容,請聯絡admin@php.cn