前言
SQL 注入是一个经典的安全问题，它存在于几乎所有 Web 应用中，也特别容易出现在基于 Deno 的后台应用程序中。本文将讨论 Deno 应用程序中常见的 SQL 注入错误，以及如何防止它们出现。
什么是 SQL 注入？
SQL 注入是一种利用应用程序未正确过滤、转义或验证数据的漏洞，使攻击者能够向SQL语句中插入恶意代码的攻击方式。攻击者可以通过 SQL 注入攻击获取敏感信息、篡改数据库中的数据，甚至拿到完整的数据库控制权。
常见的 SQL 注入攻击方式
1. 表单注入
在表单提交数据到服务器时，攻击者可以通过自定义表单数据来注入 SQL 语句中。如下面这个例子：
const query = `SELECT * FROM users WHERE username = "${request.body.username}" AND password = "${request.body.password}"`上面的代码将用户提交数据直接拼接到 SQL 语句中，攻击者可以在 username 或 password 中插入恶意 SQL 代码。
2. URL 参数注入
在使用 URL 参数查询数据库时，攻击者可以在 URL 中注入 SQL 语句。
const query = `SELECT * FROM users WHERE id = ${request.params.id}`如果用户请求的 URL 是 app.com/user/1，则 SQL 语句会被翻译成 SELECT * FROM users WHERE id = 1。但如果用户请求的 URL 是 app.com/user/1; DROP TABLE users，那么 SQL 语句将被翻译成：
SELECT * FROM users WHERE id = 1; DROP TABLE users
攻击者就成功地删除了 users 表。
防止 SQL 注入
1. 使用参数化查询
参数化查询可以在查询之前将用户提交的数据进行转义并转化为查询参数，从而避免 SQL 注入。
const query = `SELECT * FROM users WHERE username = ? AND password = ?` const results = await db.query(query, [request.body.username, request.body.password])
在上面的代码中，? 表示查询参数，db.query 函数接受一个查询语句和一个查询参数数组。这样做就能够避免 SQL 注入攻击。
2. 使用 ORM
ORM（Object-Relational Mapping） 是将数据库表映射到代码中的对象，ORM 更加面向业务逻辑，相对于原始 SQL 语句更为安全。使用 ORM 可以很大程度上避免 SQL 注入。
class User extends Model {
static async login(username, password) {
return this.findOne({ username, password })
}
}
const user = await User.login(request.body.username, request.body.password)上面的代码中，User 表示对应数据库中的 users 表，login 函数直接使用 username 和 password 进行查询，避免了拼接查询参数。
结论
本文提出了 Deno 应用程序中常见的 SQL 注入错误，并介绍了如何防止它们的出现。建议开发者在开发应用程序时尽可能的使用参数化查询和 ORM 等安全方法，以保障数据的安全性和稳定性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f9198ec5c563ced5c3db4f