node-mysql中防止SQL注入的方法

大家都知道SQL注入對於網站或伺服器來講都是一個非常危險的問題，如果這一方面沒處理好的話網站可能隨時給注入了，所以這篇文章就給大家總結了node-mysql中防止SQL注入的幾種常用做法，有需要的朋友可以參考借鏡。

SQL注入簡介

SQL注入是比較常見的網路攻擊方式之一，它不是利用作業系統的BUG來實現攻擊，而是針對程式設計師程式設計時的疏忽，透過SQL語句，實現無帳號登錄，甚至竄改資料庫。

node-mysql中防止SQL注入

#為了防止SQL注入，可以將SQL傳入參數編碼，而不是直接進行字串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：

方法一：使用escape()對傳入參數進行編碼：

#參數編碼方法有以下三個：

mysql.escape(param)
connection.escape(param)
pool.escape(param)

例如：

#

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法編碼規則如下：

     Numbers不轉換;

     Booleans轉換為true/false;

     Date物件轉換為'YYYY-mm-dd HH:ii:ss'字串；

     Buffers轉換為hex字串，如X'0fa5'；

     Strings進行安全轉義；

     Arrays轉換為列表，如['a', 'b']會轉換為'a ', 'b'；

     多維數組轉換為群組列表，如[['a', 'b'], ['c', 'd']]會轉換為'a' , 'b'), ('c', 'd');

     Objects會轉換為key=value鍵值對的形式。嵌套的物件轉換為字串；

     undefined/null會轉換為NULL；

##     MySQL不支援NaN/Infinity，並且會觸發MySQL錯誤。

方法二：使用connection.query()的查詢參數佔位符：

可使用? 做成查詢參數佔位符。在使用查詢參數佔位符時，在其內部自動呼叫

connection.escape() 方法對傳入參數進行編碼。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程式也可以改寫成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三： 使用escapeId()編碼SQL查詢識別碼：

#如果你不信任使用者傳入的SQL識別碼（資料庫、表、字元名），可以使用escapeId()方法編碼。最常用於排序等。

escapeId()有以下三個功能相似的方法：

#

mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)

##例如：

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});

方法四： 使用mysql.format()轉義參數：準備查詢，函數會選擇適當的轉義方法轉義參數

mysql.format()

用於準備查詢語句，該函數會自動的選擇適當的方法轉義參數。 例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

以上就是本文的全部內容，希望對大家的學習有所幫助，更多相關內容請關注PHP中文網！

相關推薦：

關於node.js中fs.stat與fs.fstat的差異

NodeJs form-data格式傳輸檔案的方法

關於Nodejs服務端字元編解碼與亂碼的處理

以上是node-mysql中防止SQL注入的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！