SQL注入簡介
SQL注入是比較常見的網(wǎng)絡攻擊方式之一，它不是利用操作系統(tǒng)的BUG來實現(xiàn)攻擊，而是針對程序員編程時的疏忽，通過SQL語句，實現(xiàn)無帳號登錄，甚至篡改數(shù)據(jù)庫。
node-mysql中防止SQL注入
為了防止SQL注入，可以將SQL中傳入?yún)?shù)進行編碼，而不是直接進行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：
方法一：使用escape()對傳入?yún)?shù)進行編碼：
參數(shù)編碼方法有如下三個：
mysql.escape(param)
connection.escape(param)
pool.escape(param)
例如：
var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
escape()方法編碼規(guī)則如下：
Numbers不進行轉換；
Booleans轉換為true/false；
Date對象轉換為'YYYY-mm-dd HH:ii:ss'字符串；
Buffers轉換為hex字符串，如X'0fa5'；
Strings進行安全轉義；
Arrays轉換為列表，如[‘a(chǎn)', ‘b']會轉換為'a', ‘b'；
多維數(shù)組轉換為組列表，如[[‘a(chǎn)', ‘b'], [‘c', ‘d']]會轉換為'a', ‘b'), (‘c', ‘d')；
Objects會轉換為key=value鍵值對的形式。嵌套的對象轉換為字符串；
undefined/null會轉換為NULL；
MySQL不支持NaN/Infinity，并且會觸發(fā)MySQL錯誤。
方法二：使用connection.query()的查詢參數(shù)占位符：
可使用 ? 做為查詢參數(shù)占位符。在使用查詢參數(shù)占位符時，在其內部自動調用 connection.escape() 方法對傳入?yún)?shù)進行編碼。
如：
var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
上面程序還可以改寫成如下：
var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
方法三： 使用escapeId()編碼SQL查詢標識符：
如果你不信任用戶傳入的SQL標識符（數(shù)據(jù)庫、表、字符名），可以使用escapeId()方法進行編碼。最常用于排序等。
escapeId()有如下三個功能相似的方法：
mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)
例如：
var sorter = 'date';
var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
// ...
});
方法四： 使用mysql.format()轉義參數(shù)：
準備查詢，該函數(shù)會選擇合適的轉義方法轉義參數(shù) mysql.format()用于準備查詢語句，該函數(shù)會自動的選擇合適的方法轉義參數(shù)。
例如：
var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1
總結
以上就是這篇文章的全部內容了，希望本文的內容對大家的學習或者工作帶來一定的幫助，如果有疑問大家可以留言交流。
您可能感興趣的文章:- MySQL 及 SQL 注入與防范方法
- SQL Injection with MySQL 注入分析
- Mysql數(shù)據(jù)庫使用concat函數(shù)執(zhí)行SQL注入查詢
- mysql5 注入漏洞
- 防止MySQL注入或HTML表單濫用的PHP程序
- MySQL注入繞開過濾的技巧總結
- Mysql注入中的outfile、dumpfile、load_file函數(shù)詳解
- MYSQL updatexml()函數(shù)報錯注入解析
- PHP MYSQL注入攻擊需要預防7個要點
- MySQL在不知道列名情況下的注入詳解
