如何使用Node.JS阻止SQL注入？

Question

如何使用Node.JS选择一行MS SQL服务器数据库并阻止SQL注入？我使用快速框架和包mssql。

以下是我现在使用的代码的一部分，可以使用ES 6编写SQL注入。

const express = require('express'),
      app = express(),
      sql = require('mssql'),
      config = require('./config');

let connect = (f, next) => {
    sql.connect(config.database.connectionstring).then(f).catch((err) => {
        next(err);
    });
};

app.get('/locations/get/:id', (req, res, next) => {
    let f = () => {
        new sql.Request().query(`select * from mytable where id = ${req.params.id}`)
                         .then((recordset) => {
            console.dir(recordset);
        }).catch((err) => {
            next(err);
        });
    };

    connect(f, next);
});

Answer 1

使用PreparedStatement。以下是您通过文档https://www.npmjs.com/package/mssql#prepared-statement：

执行此操作的方法

var ps = new sql.PreparedStatement(/* [connection] */);
ps.input('id', sql.Int);
ps.prepare('select * from mytable where id = @id', function(err) {
  ps.execute({id: req.params.id}, function(err, recordset) {
    ps.unprepare(function(err) {
        // ... error checks 
    });

    // Handle the recordset
  });
});

请记住，每个预准备语句表示池中的一个保留连接。不要忘记准备一份准备好的声明！

您还可以在事务中创建预准备语句（new sql.PreparedStatement（transaction）），但请记住，在调用unppare之前，您无法在事务中执行其他请求。

文档是用ES5编写的，但是我确定你可以将它宣传：）