Blockquote
我有一个Web应用程序（用js编写），用户可以在其中输入名称（以及其他条件），并针对ML数据库进行搜索，并以表格形式表示与该名称相关的某些数据（或其他搜索条件）。在开发的第一阶段，我编写了光学api查询，并在查询的where语句中使用硬编码的名称值。我这样做是为了测试REST api是否正确调用了查询，等等。一切都正常了，我可以看到在Web应用程序中返回的该硬编码名称的正确结果。现在，我想将用户提供的名称值传递给Optic api查询（EntityInformation_Optic_API_Query.json），以替换where语句中的硬编码值。我该怎么做呢？提前致谢。
所有者编辑
该应用程序是用PHP编写的，我已经在下面复制了代码。在此，您可以看到在何处调用了光学API查询以及在何处构建了参数。
<?php
if (!defined('RSS_BASE_URL')) exit;
use MarkLogic\MLPHP as MLPHP;
function rss_api_call($json, $params = array(), $resource = 'rows', $verb = 'POST')
{
$json = __DIR__ . '/json/' . $json;
if (!file_exists($json)) return false;
$request = new MLPHP\RESTRequest('POST', 'rows', $params, file_get_contents($json), array('Content-type' => 'application/json'));
$response = rss_get_client()->send($request);
return json_decode($response->getBody());
}
function rss_api_entities()
{
$params = array();
return rss_api_call('EntityInformation_Optic_API_Query.json', $params);
//return (empty($params)) ? '' : rss_api_call('EntityInformation_Optic_API_Query.json', $params);
}
function rss_api_search()
{
$params = array();
if (isset($_POST['companyname']) && !empty($_POST['companyname']))
{
$params['CompanyName'] = htmlspecialchars($_POST['companyname']);
}
if (isset($_POST['EIN']) && !empty($_POST['ein']))
{
$params['EIN'] = htmlspecialchars($_POST['ein']);
}
if (isset($_POST['city']) && !empty($_POST['city']))
{
$params['EntityCity'] = htmlspecialchars($_POST['city']);
}
if (isset($_POST['state']) && !empty($_POST['state']))
{
$params['EntityState'] = htmlspecialchars($_POST['state']);
}
if (isset($_POST['zip']) && !empty($_POST['zip']))
{
$params['EntityZip'] = htmlspecialchars($_POST['zip']);
}
return rss_api_call('SearchResults_Optic_API_Query.json', $params);
//return (empty($params)) ? '' : rss_api_call('SearchResults_Optic_API_Query.json', $params);
}
function rss_asset_path($path, $file_name)
{
global $rss_manifest;
if (empty($rss_manifest))
{
ob_start();
include(__DIR__ . '/../manifest.json');
$rss_manifest = json_decode(ob_get_clean(), true);
}
if (isset($rss_manifest[$file_name]))
{
$file_name = $rss_manifest[$file_name];
}
return RSS_ASSET_PATH . $path . '/' . $file_name;
}
function rss_box($title, $content)
{
echo '<div class="rss-box">' .
'<div class="rss-box-title">' . $title . '</div>' .
'<div class="rss-box-content">' . $content . '</div>' .
'</div>';
}
function rss_get_client()
{
$mlphp = new MLPHP\MLPHP(array
(
'host' => RSS_API_HOST,
'port' => RSS_API_PORT,
'version' => RSS_API_VERSION,
'username' => RSS_API_USERNAME,
'password' => RSS_API_PASSWORD
));
return $mlphp->getClient();
}
function rss_hidden_search_fields()
{
echo '<div class="rss-hidden">';
$fields = array('debug', 'companyname', 'ein', 'city', 'state', 'zip');
foreach ($fields as $field)
{
echo (isset($_POST[$field])) ? '<input name="' . $field . '" type="hidden" value="' . htmlspecialchars($_POST[$field]) . '" />' : '';
}
if (!empty($_POST['social']))
{
$social = (is_array($_POST['social'])) ? $_POST['social'] : array($_POST['social']);
foreach ($social as $social_network)
{
echo '<input name="social[]" type="hidden" value="' . htmlspecialchars($social_network) . '" />';
}
}
echo (empty($_POST['social-select-all'])) ? '' : '<input name="social-select-all" type="hidden" value="1" />';
echo '</div>';
}
Part of the EntityInformation_Optic_API_Query.json is below
-----
edit (information from a comment below):
The request will be a POST to /v1/rows. Does the following payload look correct?
```javascript
{
"$optic": {
"ns": "op",
"fn": "operators",
"args": [
{
"ns": "op",
"fn": "from-view",
"args": [ "TestSchema", "SUT", null, null ]
},
{
"ns": "op",
"fn": "where",
"args": [
{
"ns": "op",
"fn": "eq",
"args": [
{
"ns": "op",
"fn": "col",
"args": [ "CompanyName" ]
},
"${req.params.CompanyName}"
]
}
]
}
答案 0 :(得分：1)
我相信您需要使用“绑定”参数。因此您的计划将如下所示：
{
"$optic": {
"ns": "op",
"fn": "operators",
"args": [
{
"ns": "op",
"fn": "from-view",
"args": [
"TestSchema",
"SUT",
null,
null
]
},
{
"ns": "op",
"fn": "where",
"args": [
{
"ns": "op",
"fn": "eq",
"args": [
{
"ns": "op",
"fn": "col",
"args": [
"CompanyName"
]
},
{
"ns": "op",
"fn": "param",
"args": [
"companyName"
]
}
]
}
]
}
]
}
}
然后将其发布到/ v1 / rows时，需要设置companyName绑定参数和类型。因此，将以下参数添加到您的POST：
bind:companyName=${req.params.CompanyName}
bind:companyName:type=xs:string
假设${req.params.CompanyName}包含用户传递的公司名称值。
请注意，手工处理序列化的光学计划可能很困难。我建议您将其放在REST扩展后面，然后仅传递参数。如果您确实希望将Optic计划保留在中间层，则始终可以使用MarkLogic的查询控制台通过要在其中使用参数化值的正确op.param()调用来生成计划。即像这样：
const op = require('/MarkLogic/optic');
const plan = op
.fromView("TestSchema", "SUT")
.where(
op.eq(
op.col("CompanyName"), op.param("companyName")
)
)
plan.export()
答案 1 :(得分：0)
这取决于您如何设置应用程序。
REST API
如果您的代码将成为REST API扩展，则您编写的函数将带有一个params参数。对于JavaScript，这将是一个对象。参见The JavaScript Resource Extension Interface。在文档的该部分中：
如果请求是PUT
/v1/resource/my-ext?rs:p=1&rs:p=2，则params.p的值为[“ 1”，“ 2”]。
主模块
如果客户端将通过常规（非REST）主模块访问您的代码，请使用xdmp.getRequestField。
编辑：我用您评论中的更多信息更新了您的问题。在我看来，您似乎有一个中间层，该中间层正在从客户端（浏览器）获取参数，并使用它们来构建要传递给/v1/rows的查询。看起来"${req.params.CompanyName}"打算插入，以便您的中间层获得req.params.CompanyName的值，然后将其放入发送到MarkLogic的字符串中。
是否可能将"${req.params.CompanyName}"添加到带引号完整的字符串中，从而使中间层无法进行插值？如果您可以提供有关如何构建/v1/rows的有效负载的更多信息，我们也许可以提供更多帮助。
答案 2 :(得分：0)
对于Java或Node.js Web应用程序，最好的方法可能是编写一个函数，该函数采用该值并生成并返回Optic查询。
在其他环境中，使用JSON表示并插入值将是最安全的。
虽然有时难以调试，但可以通过转义将Optic查询的JSON序列化组装为字符串。在MarkLogic enode上，JSON被解析为JSON而不是被评估，因此没有注入攻击的风险，但是解析失败是可能的。
希望有帮助，