sql注入简介
sql注入是比较常见的网络攻击方式之一，它不是利用操作系统的bug来实现攻击，而是针对程序员编程时的疏忽，通过sql语句，实现无帐号登录，甚至篡改数据库。
node-mysql中防止sql注入
为了防止sql注入，可以将sql中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止sql注入的常用方法有以下四种：
方法一：使用escape()对传入参数进行编码：
参数编码方法有如下三个：
mysql.escape(param)connection.escape(param)pool.escape(param)
例如：
var userid = 1, name = 'test';var query = connection.query('select * from users where id = ' + connection.escape(userid) + ', name = ' + connection.escape(name), function(err, results) { // ...});console.log(query.sql); // select * from users where id = 1, name = 'test'
escape()方法编码规则如下：
numbers不进行转换；
booleans转换为true/false；
date对象转换为'yyyy-mm-dd hh:ii:ss'字符串；
buffers转换为hex字符串，如x'0fa5'；
strings进行安全转义；
arrays转换为列表，如[‘a', ‘b']会转换为'a', ‘b'；
多维数组转换为组列表，如[[‘a', ‘b'], [‘c', ‘d']]会转换为'a', ‘b'), (‘c', ‘d')；
objects会转换为key=value键值对的形式。嵌套的对象转换为字符串；
undefined/null会转换为null；
mysql不支持nan/infinity，并且会触发mysql错误。
方法二：使用connection.query()的查询参数占位符：
可使用 ? 做为查询参数占位符。在使用查询参数占位符时，在其内部自动调用 connection.escape() 方法对传入参数进行编码。
如：
var userid = 1, name = 'test';var query = connection.query('select * from users where id = ?, name = ?', [userid, name], function(err, results) { // ...});console.log(query.sql); // select * from users where id = 1, name = 'test'
上面程序还可以改写成如下：
var post = {userid: 1, name: 'test'};var query = connection.query('select * from users where ?', post, function(err, results) { // ...});console.log(query.sql); // select * from users where id = 1, name = 'test'
方法三： 使用escapeid()编码sql查询标识符：
如果你不信任用户传入的sql标识符（数据库、表、字符名），可以使用escapeid()方法进行编码。最常用于排序等。
escapeid()有如下三个功能相似的方法：
mysql.escapeid(identifier)connection.escapeid(identifier)pool.escapeid(identifier)
例如：
var sorter = 'date';var sql = 'select * from posts order by ' + connection.escapeid(sorter);connection.query(sql, function(err, results) { // ...});
方法四： 使用mysql.format()转义参数：
准备查询，该函数会选择合适的转义方法转义参数 mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。
例如：
var userid = 1;var sql = "select * from where = ?";var inserts = ['users', 'id', userid];sql = mysql.format(sql, inserts); // select * from users where id = 1
以上就是本文的全部内容，希望对大家的学习有所帮助，更多相关内容请关注！
相关推荐：
关于node.js中fs.stat与fs.fstat的区别
nodejs form-data格式传输文件的方法
关于nodejs服务端字符编解码和乱码的处理
以上就是node-mysql中防止sql注入的方法的详细内容。