补白: 本文针对mysqljs/mysql。
为了避免SQL注入,能够将SQL中传入参数进行编码,而不是直接进行字符串拼接。在node-mysql中,避免SQL注入的常用办法有以下四种:
参数编码办法有如下三个:
mysql.escape(param) connection.escape(param) pool.escape(param)
例如:
var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
可运用 ? 做为查询参数占位符。在运用查询参数占位符时,在其内部主动调用 connection.escape() 办法对传入参数进行编码。
如:
var userId = 1, name = 'test'; var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
上面程序还能够改写成如下:
var post = {userId: 1, name: 'test'}; var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) { // ... }); console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'
假如你不信任用户传入的SQL标识符(数据库、表、字符名),能够运用escapeId()办法进行编码。最常用于排序等。escapeId()有如下三个功用类似的办法:
mysql.escapeId(identifier) connection.escapeId(identifier) pool.escapeId(identifier)
例如:
var sorter = 'date'; var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter); connection.query(sql, function(err, results) { // ... });
预备查询,该函数会挑选适宜的转义办法转义参数 mysql.format()用于预备查询句子,该函数会主动的挑选适宜的办法转义参数。
例如:
var userId = 1; var sql = "SELECT * FROM ?? WHERE ?? = ?"; var inserts = ['users', 'id', userId]; sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1
1. https://github.com/mysqljs/mysql
2. http://itbilu.com/nodejs/npm/NyPG8LhlW.html
补白:Node.js与MySQL交互操作有许多库,详细能够在 https://www.npmjs.org/search?q=mysql 检查。
0×01 前语 这个靶机的主题是“权力的游戏”,难度在中高水平,方针是取得七国的flag和四个额定的flag,其间包含三个secret flag和一个final flag,需求一点《权力的游戏》的常识...
有DEFINE_PROTO_FUZZER(const test::common::http::HeaderMapImplFuzzTestCase& input) { ...2019年,咱们猜测...
BYTE** nativeEntry, /* OUT */[1][2][3][4][5][6]黑客接单渠道帮人侵略检测一个站2、用ashx页面已文本方式显现web.Config的内容 得到数据库衔接,...
3.源代码的安全危险试验环境经过该缝隙给银行APP植入drozer的native agent - weasel,weasel的Hexvalue大约为150k,没有做切割能够直接写入。 一、使用webv...
「学生黑客联盟_找黑客修改成绩-找黑客做男友」// Licensed under the MIT license. See LICENSE file in the project root for f...
最近提示说有缝隙,露出Apache、Nginx和PHP的版别号。现在收拾下,办法如下: 首先说apache 在http.conf文件里增加下面两行,默许是没有的 ServerSignature O...