Node.js mysql防止SQL注入实战：参数编码与占位符用法

SQL注入对网站或服务器构成极大威胁，若处理不当，网站可能随时遭受攻击。本文总结了在node-mysql中防止SQL注入的几种常用做法，供开发者参考借鉴。

SQL注入简介

SQL注入是常见的网络攻击方式之一。它并非利用操作系统漏洞，而是利用程序员在编码时的疏忽，通过构造恶意SQL语句实现无账号登录或篡改数据库。

node-mysql中防止SQL注入

为防止SQL注入，应对传入参数进行编码，避免直接字符串拼接。在node-mysql中，主要有以下四种防止SQL注入的方法：

方法一：使用escape()对传入参数进行编码

参数编码涉及以下三个相关方法：

mysql.escape(param)

connection.escape(param)

pool.escape(param)

例如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

escape()方法的编码规则如下：

数字类型不进行转换；

布尔值转换为true或false；

Date对象转换为'YYYY-mm-dd HH:ii:ss'格式的字符串；

Buffer对象转换为十六进制字符串，如X'0fa5'；

字符串进行安全转义；

数组转换为列表，如['a', 'b']转换为'a', 'b'；

多维数组转换为组列表，如[['a', 'b'], ['c', 'd']]转换为('a', 'b'), ('c', 'd')；

对象转换为key=value键值对形式，嵌套对象转换为字符串；

undefined和null转换为NULL；

MySQL不支持NaN和Infinity，使用它们会触发MySQL错误。

方法二：使用connection.query()的查询参数占位符

可使用?作为查询参数占位符。在使用查询参数占位符时，内部会自动调用connection.escape()方法对传入参数进行编码。

如：

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ?, name = ?', [userId, name], function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

上述程序还可改写为如下形式：

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE ?', post, function(err, results) {
// ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

方法三：使用escapeId()编码SQL查询标识符

若不信任用户传入的SQL标识符（如数据库名、表名、字段名），可使用escapeId()方法进行编码，常用于排序等场景。

escapeId()有三个功能相似的方法：

mysql.escapeId(identifier)

connection.escapeId(identifier)

pool.escapeId(identifier)

例如：

var sorter = 'date';
var sql = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
// ...
});

方法四：使用mysql.format()转义参数

准备查询语句，该函数会选择合适的转义方法处理参数mysql.format()，用于准备查询语句。该函数会自动选择合适的方法转义参数。

例如：

var userId = 1;
var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1

总结对比，个人更推荐使用方法二中的查询参数占位符，因其简单方便，避免了繁琐的转义操作。相比之下，直接使用SQL语句拼接变量时易出现转义问题导致报错，而使用查询参数占位符则能避免此类问题。

Node.js中防止SQL注入的四种方法详解