大家都知道SQL注入對于網(wǎng)站或者服務(wù)器來講都是一個非常危險的問題，如果這一方面沒處理好的話網(wǎng)站可能隨時給注入了，所以這篇文章就給大家總結(jié)了node-mysql中防止SQL注入的幾種常用做法，有需要的朋友們可以參考借鑒。

SQL注入簡介

SQL注入是比較常見的網(wǎng)絡(luò)攻擊方式之一，它不是利用操作系統(tǒng)的BUG來實現(xiàn)攻擊，而是針對程序員編程時的疏忽，通過SQL語句，實現(xiàn)無帳號登錄，甚至篡改數(shù)據(jù)庫。

node-mysql中防止SQL注入

為了防止SQL注入，可以將SQL中傳入?yún)?shù)進行編碼，而不是直接進行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：

方法一：使用escape()對傳入?yún)?shù)進行編碼：

參數(shù)編碼方法有如下三個：

mysql.escape(param)

connection.escape(param)

pool.escape(param)

例如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法編碼規(guī)則如下：

Numbers不進行轉(zhuǎn)換；

Booleans轉(zhuǎn)換為true/false；

Date對象轉(zhuǎn)換為'YYYY-mm-dd HH:ii:ss'字符串；

Buffers轉(zhuǎn)換為hex字符串，如X'0fa5'；

Strings進行安全轉(zhuǎn)義；

Arrays轉(zhuǎn)換為列表，如[‘a', ‘b']會轉(zhuǎn)換為'a', ‘b'；

多維數(shù)組轉(zhuǎn)換為組列表，如[[‘a', ‘b'], [‘c', ‘d']]會轉(zhuǎn)換為'a', ‘b'), (‘c', ‘d')；

Objects會轉(zhuǎn)換為key=value鍵值對的形式。嵌套的對象轉(zhuǎn)換為字符串；

undefined/null會轉(zhuǎn)換為NULL；

MySQL不支持NaN/Infinity，并且會觸發(fā)MySQL錯誤。

方法二：使用connection.query()的查詢參數(shù)占位符：

可使用 ? 做為查詢參數(shù)占位符。在使用查詢參數(shù)占位符時，在其內(nèi)部自動調(diào)用connection.escape()方法對傳入?yún)?shù)進行編碼。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程序還可以改寫成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三： 使用escapeId()編碼SQL查詢標(biāo)識符：

如果你不信任用戶傳入的SQL標(biāo)識符(數(shù)據(jù)庫、表、字符名)，可以使用escapeId()方法進行編碼。最常用于排序等。

escapeId()有如下三個功能相似的方法：

mysql.escapeId(identifier)

connection.escapeId(identifier)

pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
// ...
});

方法四： 使用mysql.format()轉(zhuǎn)義參數(shù)：

準(zhǔn)備查詢，該函數(shù)會選擇合適的轉(zhuǎn)義方法轉(zhuǎn)義參數(shù)  mysql.format()用于準(zhǔn)備查詢語句，該函數(shù)會自動的選擇合適的方法轉(zhuǎn)義參數(shù)。

例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

總結(jié)對比一下，個人比較喜歡實用方法二中的查詢參數(shù)占位符方法，使用起來比較簡單方便，避免了一堆轉(zhuǎn)義相關(guān)的操作。對比來說，如果直接使用SQL語句，則在變量拼接的過程中往往會出現(xiàn)一些轉(zhuǎn)義的問題而導(dǎo)致報錯，使用查詢參數(shù)占位符則不會出現(xiàn)這類問題。

最新評論