大家都知道SQL注入對於網站或伺服器來講都是一個非常危險的問題,如果這一方面沒處理好的話網站可能隨時給注入了,所以這篇文章就給大家總結了node-mysql中防止SQL注入的幾種常用做法,有需要的朋友可以參考借鏡。
SQL注入簡介
SQL注入是比較常見的網路攻擊方式之一,它不是利用作業系統的BUG來實現攻擊,而是針對程式設計師程式設計時的疏忽,透過SQL語句,實現無帳號登錄,甚至竄改資料庫。
node-mysql中防止SQL注入
#為了防止SQL注入,可以將SQL傳入參數編碼,而不是直接進行字串拼接。在node-mysql中,防止SQL注入的常用方法有以下四種:
方法一:使用escape()對傳入參數進行編碼:
#參數編碼方法有以下三個:
mysql.escape(param) connection.escape(param) pool.escape(param)
例如:
#var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
escape()方法編碼規則如下:
Numbers不轉換;
Booleans轉換為true/false;
Date物件轉換為'YYYY-mm-dd HH:ii:ss'字串;
Buffers轉換為hex字串,如X'0fa5';
Strings進行安全轉義;
Arrays轉換為列表,如['a', 'b']會轉換為'a ', 'b';
多維數組轉換為群組列表,如[['a', 'b'], ['c', 'd']]會轉換為'a' , 'b'), ('c', 'd');
Objects會轉換為key=value鍵值對的形式。嵌套的物件轉換為字串;
undefined/null會轉換為NULL;
方法二:使用connection.query()的查詢參數佔位符:
可使用? 做成查詢參數佔位符。在使用查詢參數佔位符時,在其內部自動呼叫 connection.escape() 方法對傳入參數進行編碼。
var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'上面程式也可以改寫成如下:
var post = {userId: 1, name: 'test'}; var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
方法三: 使用escapeId()編碼SQL查詢識別碼:
#如果你不信任使用者傳入的SQL識別碼(資料庫、表、字元名),可以使用escapeId()方法編碼。最常用於排序等。escapeId()有以下三個功能相似的方法:
#
mysql.escapeId(identifier) connection.escapeId(identifier) pool.escapeId(identifier)
##例如:
var sorter = 'date'; var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter); connection.query(sql, function(err, results) { // ... });
方法四: 使用mysql.format()轉義參數:準備查詢,函數會選擇適當的轉義方法轉義參數
mysql.format()用於準備查詢語句,該函數會自動的選擇適當的方法轉義參數。 例如:
var userId = 1; var sql = "SELECT * FROM ?? WHERE ?? = ?"; var inserts = ['users', 'id', userId]; sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1
以上就是本文的全部內容,希望對大家的學習有所幫助,更多相關內容請關注PHP中文網!
相關推薦:
關於node.js中fs.stat與fs.fstat的差異NodeJs form-data格式傳輸檔案的方法關於Nodejs服務端字元編解碼與亂碼的處理以上是node-mysql中防止SQL注入的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章!