node-mysql中防止SQL注入的方法总结
SQL注入简介
SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。
node-mysql中防止SQL注入
为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种：
方法一：使用escape()对传入参数进行编码：
参数编码方法有如下三个：
mysql.escape(param) connection.escape(param) pool.escape(param)
例如：
varuserId=1,name='test';
varquery=connection.query('SELECT*FROMusersWHEREid='+connection.escape(userId)+',name='+connection.escape(name),function(err,results){
//...
});
console.log(query.sql);//SELECT*FROMusersWHEREid=1,name='test'
escape()方法编码规则如下：
Numbers不进行转换；
Booleans转换为true/false；
Date对象转换为'YYYY-mm-ddHH:ii:ss'字符串；
Buffers转换为hex字符串，如X'0fa5'；
Strings进行安全转义；
Arrays转换为列表，如[‘a',‘b']会转换为'a',‘b'；
多维数组转换为组列表，如[[‘a',‘b'],[‘c',‘d']]会转换为'a',‘b'),(‘c',‘d')；
Objects会转换为key=value键值对的形式。嵌套的对象转换为字符串；
undefined/null会转换为NULL；
MySQL不支持NaN/Infinity，并且会触发MySQL错误。
方法二：使用connection.query()的查询参数占位符：
可使用?做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用connection.escape()方法对传入参数进行编码。
如：
varuserId=1,name='test';
varquery=connection.query('SELECT*FROMusersWHEREid=?,name=?',[userId,name],function(err,results){
//...
});
console.log(query.sql);//SELECT*FROMusersWHEREid=1,name='test'
上面程序还可以改写成如下：
varpost={userId:1,name:'test'};
varquery=connection.query('SELECT*FROMusersWHERE?',post,function(err,results){
//...
});
console.log(query.sql);//SELECT*FROMusersWHEREid=1,name='test'
方法三：使用escapeId()编码SQL查询标识符：
如果你不信任用户传入的SQL标识符（数据库、表、字符名），可以使用escapeId()方法进行编码。最常用于排序等。
escapeId()有如下三个功能相似的方法：
mysql.escapeId(identifier) connection.escapeId(identifier) pool.escapeId(identifier)
例如：
varsorter='date';
varsql='SELECT*FROMpostsORDERBY'+connection.escapeId(sorter);
connection.query(sql,function(err,results){
//...
});
方法四：使用mysql.format()转义参数：
准备查询，该函数会选择合适的转义方法转义参数mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。
例如：
varuserId=1; varsql="SELECT*FROM??WHERE??=?"; varinserts=['users','id',userId]; sql=mysql.format(sql,inserts);//SELECT*FROMusersWHEREid=1
总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作带来一定的帮助，如果有疑问大家可以留言交流。