web前端|js教程
mysql防止sql注入,node,防止sql注入,nodejs,防止sql注入
web前端-js教程
大家都知道SQL注入对于网站或者服务器来讲都是一个非常危险的问题,如果这一方面没处理好的话网站可能随时给注入了,所以这篇文章就给大家总结了node-mysql中防止SQL注入的几种常用做法,有需要的朋友们可以参考借鉴。
在线查看源码,ubuntu装完卡在重启,爬虫爬房源数据,php快,seo的优劣lzw
SQL注入简介
cnc工程源码,gz怎么打开ubuntu,tomcat监控的基本特点,爬虫的日子,php怎么提取设备id,seo爬lzw
SQL注入是比较常见的网络攻击方式之一,它不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过SQL语句,实现无帐号登录,甚至篡改数据库。
云平台网站网站源码,手机控制ubuntu关机,京东商品列表爬虫,ajax 原生 php,电影seo方案lzw
node-mysql中防止SQL注入
为了防止SQL注入,可以将SQL中传入参数进行编码,而不是直接进行字符串拼接。在node-mysql中,防止SQL注入的常用方法有以下四种:
方法一:使用escape()对传入参数进行编码:
参数编码方法有如下三个:
mysql.escape(param)connection.escape(param)pool.escape(param)
例如:
var userId = 1, name = est;var query = connection.query(SELECT * FROM users WHERE id = + connection.escape(userId) + , name = + connection.escape(name), function(err, results) { // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = est
escape()方法编码规则如下:
Numbers不进行转换;
Booleans转换为true/false;
Date对象转换为’YYYY-mm-dd HH:ii:ss’字符串;
Buffers转换为hex字符串,如X’0fa5’;
Strings进行安全转义;
Arrays转换为列表,如[‘a’, ‘b’]会转换为’a’, ‘b’;
多维数组转换为组列表,如[[‘a’, ‘b’], [‘c’, ‘d’]]会转换为’a’, ‘b’), (‘c’, ‘d’);
Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串;
undefined/null会转换为NULL;
MySQL不支持NaN/Infinity,并且会触发MySQL错误。
方法二:使用connection.query()的查询参数占位符:
可使用 ? 做为查询参数占位符。在使用查询参数占位符时,在其内部自动调用connection.escape()
方法对传入参数进行编码。
如:
var userId = 1, name = est;var query = connection.query(SELECT * FROM users WHERE id = ?, name = ?, [userId, name], function(err, results) { // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = est
上面程序还可以改写成如下:
var post = {userId: 1, name: est};var query = connection.query(SELECT * FROM users WHERE ?, post, function(err, results) { // ...});console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = est
方法三: 使用escapeId()编码SQL查询标识符:
如果你不信任用户传入的SQL标识符(数据库、表、字符名),可以使用escapeId()方法进行编码。最常用于排序等。
escapeId()
有如下三个功能相似的方法:
mysql.escapeId(identifier)connection.escapeId(identifier)pool.escapeId(identifier)
例如:
var sorter = date;var sql = SELECT * FROM posts ORDER BY + connection.escapeId(sorter);connection.query(sql, function(err, results) { // ...});
方法四: 使用mysql.format()转义参数:
准备查询,该函数会选择合适的转义方法转义参数mysql.format()
用于准备查询语句,该函数会自动的选择合适的方法转义参数。
例如:
var userId = 1;var sql = "SELECT * FROM ?? WHERE ?? = ?";var inserts = [users, id, userId];sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1