Node.js中用escape解决sql注入

JavaScript018

Node.js中用escape解决sql注入,第1张

这时正常情况下能查询到一条数据，如果将param修改成

let param = 'ns"-- '

sql语句就会变成

select * from tb_nature where nature = "ns"-- " and del_status=1

后面的del_status就会被参数中的 -- 注释掉，失去作用，能查询到多条数据。

如果对param使用escape包装下，就能将参数中的特殊字符进行转义，防止sql的注入。

let sql = 'select * from tb_nature where nature = ' + mysql.escape(param) + ' and del_status=1'

不会。

sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。

是否有漏洞与代码有关，与此无关

其中主流的连接MySQL的方式是用mysql或者mysql2包，它们只是提供了调用驱动的api。很多框架中包括egg，nest都是基于此封装的。

但这不是SQL注入的关键，它只是一种连接方式。它只管连接，不管其他的，存不存在SQL注入完全靠写代码的人本身啊。

一句脚本本没有问题(知道不让直接放sql的，也是放注入)，但是你如果让SQL变成由用户输入拼接而成，那就存在SQL注入的风险。

你应该去了解SQL注入的原理，然后进行防患，百度就能找到，然后可以用ORM，一般都对输入做了处理，还能避免直接写SQL(但其实难的地方还得自己写)。

有不理解可以追问。