如果你正在处理 SQL 查询字符串并担心在拼接值时出现 SQL 注入的问题，那么你应该考虑使用 sql-escape 这个 npm 包。sql-escape 可以帮助你构建 SQL 安全的查询字符串，而无需手动转义输入值。本文将为你提供关于使用 sql-escape 的详细教程。
安装
使用 npm 安装 sql-escape:
npm install sql-escape
使用
引入 sql-escape
使用 require() 语句将 sql-escape 引入你的项目：
const sqlEscape = require('sql-escape')把值转义并插入 SQL 查询字符串
我来举个例子，看看如何使用 sql-escape 将值插入查询字符串。
const username = 'admin'
const password = 'letmein'
const sqlQuery = `SELECT * FROM users WHERE username = ${sqlEscape(username)} AND password = ${sqlEscape(password)}`在上面的代码中，我们将 username 和 password 两个值转义并插入了 SQL 查询字符串中。这样我们就可以避免 SQL 注入的问题，并且不用手动执行输入值的转义操作，sql-escape 会自动为我们处理。
转义多行文本
如果要转义多行文本，可以使用 sqlEscape.escape``(text) 函数。这个函数会自动将多行文本转义。
const text = `This is a multi-line text
with special characters like ' and " and \
`
const sqlQuery = `INSERT INTO mytable (mytext) VALUES (${sqlEscape.escape(text)})`注意：sqlEscape.escape() 函数并不会在多行文本的行尾处添加反斜杠 ()。所以在拼接 SQL 查询字符串时，确保剩下的 SQL 查询语句和值都是安全的。
深度学习和指导
在使用 sql-escape/mysql 时，一定要避免使用拼接字符串的方式来生成 SQL 查询语句。因为这样容易带来 SQL 注入的问题。例如下面这段代码：
const username = 'admin'
const password = 'letmein'
const sqlQuery = `SELECT * FROM users WHERE username = '${username}' AND password = '${password}'`如果将上述代码发送给数据库，人们可能会尝试在 password 字段中注入一些其他的代码，因为 password 字段中的内容只是一个字符串。
使用 sql-escape 的好处是，它会将输入值自动转义，从而防止注入攻击。这就是所谓的 SQL 注入安全的查询字符串。
总之，使用 sql-escape 来转义输入值并生成 SQL 查询字符串是很重要的，有助于保护你的应用程序。当你把它们结合起来使用时，你的代码将会更加安全和可维护。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600670a58ccae46eb111f160