在使用 Express.js 进行开发时，数据库操作是不可避免的。然而，不注意防范 SQL 注入攻击，可能会给我们的系统带来很大的安全隐患。本文将介绍在 Express.js 中如何正确地防范 SQL 注入攻击，并提供示例代码供读者参考。
什么是 SQL 注入
SQL 注入是一种攻击手段，其中攻击者通过注入恶意 SQL 代码，从而获得敏感信息或对数据库进行不当操作。攻击者可以利用某些 API 参数或表单输入字段等进行注入攻击，从而绕过程序的身份验证和授权检查。
具体来说，攻击者可以使用 SQL 注入技术，执行一些危险的 SQL 命令，比如删除、修改或执行一些危险操作。SQL 注入攻击常常被用于窃取敏感信息，比如用户名、密码、信用卡号码等。
Express.js 中的 SQL 注入
在 Express.js 中，SQL 注入问题很容易出现在处理来自用户的输入时。比如我们在编写登录系统时，会涉及到查询数据库中是否存在某个用户名和密码，如果我们没有正确地处理用户输入，就有可能会遭受 SQL 注入攻击。
下面我们来看一个具体的例子：
-- -------------------- ---- ------- ----------------- ----- ---- -- - ----- -------- - ------------------- ----- -------- - ------------------- ----- ----- - ------- - ---- ----- ----- ---------------------- --- ------------------------ --------------- ----- ------- -- - -- ----- - ------------------- -------------------------------- - ---- -- -------------- --- -- - --------------------------------- - ---- - ----------------- - --- ---展开代码
上面这段代码中，我们使用了用户输入的用户名和密码构造了 SQL 查询语句。然而，如果攻击者在用户名或密码中输入 SQL 语句，则可能会导致查询出错或运行了危险的 SQL 命令。
比如，如果攻击者在用户名或密码字段中输入如下内容：
' or 1=1 --则数据库执行的查询语句将是：
SELECT * FROM users WHERE username='' or 1=1 --' AND password='' or 1=1 --'
这里的 -- 是 SQL 中的注释符号，可以注释掉后面的内容。因此，上面这条 SQL 语句会查找所有用户的信息，而不会判断用户名和密码是否匹配。这就是 SQL 注入攻击。
防范 SQL 注入攻击
为了防范 SQL 注入攻击，我们需要对用户输入进行过滤和转义，以确保不会将 SQL 代码放入查询语句中。Express.js 中的 mysql 模块提供了一些方法来转义 SQL 代码，主要有 mysql.escape() 和 mysql.escapeId() 方法。
mysql.escape() 方法可以将字符串中的字符进行转义，从而使得字符串可以被正确地嵌入到 SQL 语句中。比如：
const username = "Alice' OR '1'='1"; const password = "password"; const query = `SELECT * FROM users WHERE username=${mysql.escape(username)} AND password=${mysql.escape(password)}`;
上面的代码将会把 username 字符串中的单引号进行转义，从而防止 SQL 注入攻击。
mysql.escapeId() 方法可以用来转义标识符，比如数据库中的表名、列名等。使用这个函数可以避免 SQL 注入攻击者通过修改 SQL 查询语句，访问不同的表或列。
const column = 'user_id'; const table = 'users'; const query = `SELECT ${mysql.escapeId(column)} FROM ${mysql.escapeId(table)}`;
上面的代码将会转义 SQL 语句中的 $column 和 $table 参数，从而避免 SQL 注入。
除了使用 mysql.escape() 和 mysql.escapeId() 方法进行转义，我们还可以使用预编译语句。预编译语句是指在发送 SQL 请求之前向数据库发送 SQL 语句模板和参数值的组合，数据库将模板和参数值分离，并在接收到模板后编译它们。
-- -------------------- ---- ------- ----- ----- - ------- - ---- ----- ----- ---------- --- ------------ --------------- ---------- ---------- ----- ------- -- - -- ----- - ------------------- -------------------------------- - ---- -- -------------- --- -- - --------------------------------- - ---- - ----------------- - ---展开代码
上面的代码中，我们使用 ? 作为占位符，将参数值作为一个数组传入 query() 函数。这样既防范了 SQL 注入攻击，又可以提高查询效率。
总结
SQL 注入攻击是一种常见的攻击手段，尤其是在处理用户输入时更容易出现。Express.js 中的 mysql 模块提供了一些方法来防范 SQL 注入攻击，主要有 mysql.escape() 和 mysql.escapeId() 方法以及预编译语句。在编写程序时，我们应该注意过滤和转义用户输入，以便安全地操作数据库。
延伸阅读
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/651949ed95b1f8cacd179d7e
