node.jsmysql防注入_javascript阻止Node.js中的SQL注入

是否有可能阻止Node.js中的SQL注入(最好使用模块)&＃xff0c;就像PHP具有保护它们的Prepared Statements一样。

如果是这样&＃xff0c;怎么样&＃xff1f; 如果没有&＃xff0c;有哪些例子可能会绕过我提供的代码(见下文)。

一些背景&＃xff1a;

我正在使用node-mysql模块制作一个带有Node.js &＃43; MySql的后端堆栈的Web应用程序。 从可用性的角度来看&＃xff0c;该模块很棒&＃xff0c;但它还没有实现类似于PHP的Prepared Statements(虽然我知道它是在todo上)。

根据我的理解&＃xff0c;PHP的预处理语句的实现&＃xff0c;尤其有助于防止SQL注入。 但我担心&＃xff0c;我的node.js应用程序可能会受到类似的攻击&＃xff0c;即使默认情况下提供了字符串转义(如下面的代码片段)。

node-mysql似乎是node.js最受欢迎的mysql连接器&＃xff0c;所以我想知道其他人可能正在做什么(如果有的话)来解决这个问题 - 或者甚至是node.js开头的问题 (不确定这是怎么回事&＃xff0c;因为涉及用户/客户端输入)。

我应该暂时切换到node-mysql-native&＃xff0c;因为它确实提供了预准备语句吗&＃xff1f; 我对此犹豫不决&＃xff0c;因为它似乎不像node-mysql那样活跃(尽管这可能只是意味着它已经完成)。

这是一个用户注册代码片段&＃xff0c;它使用sanitizer模块&＃xff0c;以及node-mysql准备的类似语句的语法(如上所述&＃xff0c;它可以进行字符转义)&＃xff0c;分别防止跨站点脚本和sql注入&＃xff1a;

// Prevent xss

var clean_user &＃61; sanitizer.sanitize(username);

// assume password is hashed already

var post &＃61; {Username: clean_user, Password: hash};

// This just uses connection.escape() underneath

var query &＃61; connection.query(&＃39;INSERT INTO users SET ?&＃39;, post,

function(err, results)

{

// Can a Sql injection happen here?

});