node-MySQL中怎么防止SQL注入，很多新手對(duì)此不是很清楚，為了幫助大家解決這個(gè)難題，下面小編將為大家詳細(xì)講解，有這方面需求的人可以來學(xué)習(xí)下，希望你能有所收獲。

創(chuàng)新互聯(lián)建站致力于互聯(lián)網(wǎng)品牌建設(shè)與網(wǎng)絡(luò)營(yíng)銷，包括成都做網(wǎng)站、網(wǎng)站設(shè)計(jì)、外貿(mào)營(yíng)銷網(wǎng)站建設(shè)、SEO優(yōu)化、網(wǎng)絡(luò)推廣、整站優(yōu)化營(yíng)銷策劃推廣、電子商務(wù)、移動(dòng)互聯(lián)網(wǎng)營(yíng)銷等。創(chuàng)新互聯(lián)建站為不同類型的客戶提供良好的互聯(lián)網(wǎng)應(yīng)用定制及解決方案，創(chuàng)新互聯(lián)建站核心團(tuán)隊(duì)十多年專注互聯(lián)網(wǎng)開發(fā)，積累了豐富的網(wǎng)站經(jīng)驗(yàn)，為廣大企業(yè)客戶提供一站式企業(yè)網(wǎng)站建設(shè)服務(wù)，在網(wǎng)站建設(shè)行業(yè)內(nèi)樹立了良好口碑。

SQL注入簡(jiǎn)介

SQL注入是比較常見的網(wǎng)絡(luò)攻擊方式之一，它不是利用操作系統(tǒng)的BUG來實(shí)現(xiàn)攻擊，而是針對(duì)程序員編程時(shí)的疏忽，通過SQL語(yǔ)句，實(shí)現(xiàn)無帳號(hào)登錄，甚至篡改數(shù)據(jù)庫(kù)。

node-mysql中防止SQL注入

為了防止SQL注入，可以將SQL中傳入?yún)?shù)進(jìn)行編碼，而不是直接進(jìn)行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：

方法一：使用escape()對(duì)傳入?yún)?shù)進(jìn)行編碼：

參數(shù)編碼方法有如下三個(gè)：

mysql.escape(param)
connection.escape(param)
pool.escape(param)

例如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法編碼規(guī)則如下：

     Numbers不進(jìn)行轉(zhuǎn)換；

     Booleans轉(zhuǎn)換為true/false；

     Date對(duì)象轉(zhuǎn)換為'YYYY-mm-dd HH:ii:ss'字符串；

     Buffers轉(zhuǎn)換為hex字符串，如X'0fa5'；

     Strings進(jìn)行安全轉(zhuǎn)義；

     Arrays轉(zhuǎn)換為列表，如[‘a(chǎn)', ‘b']會(huì)轉(zhuǎn)換為'a', ‘b'；

     多維數(shù)組轉(zhuǎn)換為組列表，如[[‘a(chǎn)', ‘b'], [‘c', ‘d']]會(huì)轉(zhuǎn)換為'a', ‘b'), (‘c', ‘d')；

     Objects會(huì)轉(zhuǎn)換為key=value鍵值對(duì)的形式。嵌套的對(duì)象轉(zhuǎn)換為字符串；

     undefined/null會(huì)轉(zhuǎn)換為NULL；

     MySQL不支持NaN/Infinity，并且會(huì)觸發(fā)MySQL錯(cuò)誤。

方法二：使用connection.query()的查詢參數(shù)占位符：

可使用 ? 做為查詢參數(shù)占位符。在使用查詢參數(shù)占位符時(shí)，在其內(nèi)部自動(dòng)調(diào)用 connection.escape() 方法對(duì)傳入?yún)?shù)進(jìn)行編碼。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上面程序還可以改寫成如下：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三： 使用escapeId()編碼SQL查詢標(biāo)識(shí)符：

如果你不信任用戶傳入的SQL標(biāo)識(shí)符（數(shù)據(jù)庫(kù)、表、字符名），可以使用escapeId()方法進(jìn)行編碼。最常用于排序等。

escapeId()有如下三個(gè)功能相似的方法：

mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});

方法四： 使用mysql.format()轉(zhuǎn)義參數(shù)：

準(zhǔn)備查詢，該函數(shù)會(huì)選擇合適的轉(zhuǎn)義方法轉(zhuǎn)義參數(shù) 　　 mysql.format()用于準(zhǔn)備查詢語(yǔ)句，該函數(shù)會(huì)自動(dòng)的選擇合適的方法轉(zhuǎn)義參數(shù)。

例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

看完上述內(nèi)容是否對(duì)您有幫助呢？如果還想對(duì)相關(guān)知識(shí)有進(jìn)一步的了解或閱讀更多相關(guān)文章，請(qǐng)關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道，感謝您對(duì)創(chuàng)新互聯(lián)的支持。