[javascript] Node.js에서 SQL 주입 방지

라이브러리에는 이스케이프에 대한 추가 정보 섹션 이 있습니다 . Javascript-native이므로 node-mysql-native로 전환하는 것은 권장하지 않습니다 . 문서에는 이스케이프에 대한 다음 지침이 나와 있습니다.

편집 : node-mysql-native 는 또한 순수 자바 스크립트 솔루션입니다.

• 숫자는 그대로 둡니다.
• 부울은 true/ false문자열 로 변환 됩니다.
• 날짜 개체는 YYYY-mm-dd HH:ii:ss문자열 로 변환 됩니다.
• 버퍼는 16 진 문자열로 변환됩니다. X'0fa5'
• 문자열은 안전하게 이스케이프됩니다.
• 배열은 목록 ['a', 'b']으로 변환됩니다.'a', 'b'
• 중첩 된 배열은 그룹화 된 목록 (대량 삽입 용) [['a', 'b'], ['c', 'd']]으로 변환됩니다.('a', 'b'), ('c', 'd')
• 개체는 key = 'val'쌍 으로 바뀝니다. 중첩 된 개체는 문자열로 캐스팅됩니다.
• undefined/ null변환NULL
• NaN/ Infinity그대로 둡니다. MySQL은이를 지원하지 않으며 값으로 삽입하려고하면 지원을 구현할 때까지 MySQL 오류가 트리거됩니다.

이를 통해 다음과 같은 작업을 수행 할 수 있습니다.

var userId = 5;
var query = connection.query('SELECT * FROM users WHERE id = ?', [userId], function(err, results) {
  //query.sql returns SELECT * FROM users WHERE id = '5'
});

뿐만 아니라 :

var post  = {id: 1, title: 'Hello MySQL'};
var query = connection.query('INSERT INTO posts SET ?', post, function(err, result) {
  //query.sql returns INSERT INTO posts SET `id` = 1, `title` = 'Hello MySQL'
});

이러한 함수 외에도 이스케이프 함수를 사용할 수도 있습니다.

connection.escape(query);
mysql.escape(query);

쿼리 식별자를 이스케이프하려면 :

mysql.escapeId(identifier);

준비된 진술에 대한 귀하의 의견에 대한 응답으로 :

사용성 관점에서이 모듈은 훌륭하지만 아직 PHP의 Prepared Statements와 유사한 것을 구현하지 않았습니다.

준비된 명령문은 이 커넥터의 할 일 목록에 있지만이 모듈은 최소한 준비된 명령문과 매우 유사한 사용자 정의 형식을 지정할 수 있도록합니다. Readme의 예는 다음과 같습니다.

connection.config.queryFormat = function (query, values) {
  if (!values) return query;
  return query.replace(/\:(\w+)/g, function (txt, key) {
    if (values.hasOwnProperty(key)) {
      return this.escape(values[key]);
    }
    return txt;
  }.bind(this));
};

이렇게하면 연결의 쿼리 형식이 변경되므로 다음과 같은 쿼리를 사용할 수 있습니다.

connection.query("UPDATE posts SET title = :title", { title: "Hello MySQL" });
//equivalent to
connection.query("UPDATE posts SET title = " + mysql.escape("Hello MySQL");