大家都知道SQL注入對於網站或伺服器來講都是一個非常危險的問題，如果這一方面沒處理好的話網站可能隨時給注入了，所以這篇文章就給大家總結了node-mysql中防止SQL注入的幾種常用做法，有需要的朋友可以參考借鏡。
SQL注入簡介
SQL注入是比較常見的網路攻擊方式之一，它不是利用作業系統的BUG來實現攻擊，而是針對程式設計師程式設計時的疏忽，透過SQL語句，實現無帳號登錄，甚至竄改資料庫。
node-mysql中防止SQL注入
#為了防止SQL注入，可以將SQL傳入參數編碼，而不是直接進行字串拼接。在node-mysql中，防止SQL注入的常用方法有以下四種：
方法一：使用escape()對傳入參數進行編碼：
#參數編碼方法有以下三個：
mysql.escape(param) connection.escape(param) pool.escape(param)
例如：
#
var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
escape()方法編碼規則如下：
Numbers不轉換;
Booleans轉換為true/false;
Date物件轉換為'YYYY-mm-dd HH:ii:ss'字串；
Buffers轉換為hex字串，如X'0fa5'；
Strings進行安全轉義；
Arrays轉換為列表，如['a', 'b']會轉換為'a ', 'b'；
多維數組轉換為群組列表，如[['a', 'b'], ['c', 'd']]會轉換為'a' , 'b'), ('c', 'd');
Objects會轉換為key=value鍵值對的形式。嵌套的物件轉換為字串；
undefined/null會轉換為NULL；
方法二：使用connection.query()的查詢參數佔位符：
可使用? 做成查詢參數佔位符。在使用查詢參數佔位符時，在其內部自動呼叫connection.escape()方法對傳入參數進行編碼。
var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
var post = {userId: 1, name: 'test'}; var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
方法三： 使用escapeId()編碼SQL查詢識別碼：
#如果你不信任使用者傳入的SQL識別碼（資料庫、表、字元名），可以使用escapeId()方法編碼。最常用於排序等。escapeId()有以下三個功能相似的方法：
#
mysql.escapeId(identifier) connection.escapeId(identifier) pool.escapeId(identifier)
##例如：
var sorter = 'date'; var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter); connection.query(sql, function(err, results) { // ... });
方法四： 使用mysql.format()轉義參數：準備查詢，函數會選擇適當的轉義方法轉義參數
mysql.format()用於準備查詢語句，該函數會自動的選擇適當的方法轉義參數。例如：
var userId = 1; var sql = "SELECT * FROM ?? WHERE ?? = ?"; var inserts = ['users', 'id', userId]; sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1
以上就是本文的全部內容，希望對大家的學習有所幫助，更多相關內容請關注PHP中文網！
相關推薦：
關於node.js中fs.stat與fs.fstat的差異 NodeJs form-data格式傳輸檔案的方法 關於Nodejs服務端字元編解碼與亂碼的處理
以上是node-mysql中防止SQL注入的方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！
