防止Nodejs MySQL SQL注入

Question

如何防止NodeJ的SQL注入？ 我正在尝试使用？ 符号和req.param。 但我不能上班。 我应该如何正确使用req.param.id？ 事先多谢。

    app.get('/products/:id', (req, res) => {
    conn.getConnection(function (err, connection) {
        if (err) throw err;
    const SELECT_WHERE_PRODUCT_ID_QUERY = `SELECT * FROM products WHERE id = ?, $[req.param.id]`
    connection.query(SELECT_WHERE_PRODUCT_ID_QUERY, function (error, results, fields) {
    connection.release()
      if (error) throw error;
      return res.send(results)     
    });
  }); 
});

Answer 1

这应该可以防止SQL注入。

const SELECT_ALL_PRODUCT_QUERY = 'SELECT * FROM products WHERE id = ?'
connection.query(SELECT_ALL_PRODUCT_QUERY,[req.params.id], function (error, results)

Answer 2

是的，我们应该为此使用准备好的语句，并使用？作为占位符。 为了使其工作，我们应该将参数作为单独的实参传递:

const query = 'SELECT * FROM products WHERE id = ?';
const params = [req.param.id];
connection.query(query, params, function (error, results, fields) {

另一种形式:

connection.query(
    {
        sql: 'SELECT * FROM products WHERE id = ?',
        values: [req.param.id]
    },
    function (error, results, fields) {

有关更多示例，请参见文档。