如何针对SQL和参数注入保护Sails.JS API应用程序？

Question

如果我启动https://sailsjs.com/应用程序（仅限API的服务，还没有前端），如何保护API不受SQL注入或未处理的参数（例如类型错误或格式错误）？

Answer 1

1.政策

您可以编写策略以防止某些用户远离某些控制器操作。检查他们HERE

2.编写检查所需参数的控制器

就这么简单。当参数不在正文中时，只需返回400或res.badRequest()（查看HERE）。

3.使用Waterline帮助您。

HERE中的所有方法都有办法清理数据。但是检查值类型和其他验证（如范围）是你的职责。如果您需要执行原始查询，请像HERE一样使用它，并检查DOCS和“valuesToEscape”arg。

PS：4。使用验证器服务

设置一项服务，该服务需要知名的npm库来为您进行检查！这很有用，因为您可以在SailS应用程序中提供一组共同的代码。