expressjs如何做mysql注入_node-mysql中防止SQL注入的方法

大家都知道SQL注入对于网站或者服务器来讲都是一个非常危险的问题，如果这一方面没处理好的话网站可能随时给注入了，所以这篇文章就给大家总结了node-mysql中防止SQL注入的几种常用做法，有需要的朋友们可以参考借鉴。

SQL注入简介

SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。

node-mysql中防止SQL注入

为了防止SQL注入，可以将SQL中传入参数进行编码，而不是直接进行字符串拼接。在node-mysql中，防止SQL注入的常用方法有以下四种：

方法一：使用escape()对传入参数进行编码：

参数编码方法有如下三个：

mysql.escape(param)

connection.escape(param)

pool.escape(param)

例如：

var userId = 1, name = 'test';

var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {

// ...

});

console.log(query.sql); // SELECT * FROM users WHERE id = 1