如何针对SQL和参数注入保护Sails.JS API应用程序？

Question

如果我启动https://sailsjs.com/应用程序(仅限API的服务,还没有前端),我如何保护API免受SQL注入或未处理的参数(例如类型错误或错误的格式)？

Answer 1

1.政策

您可以编写策略以使某些用户远离某些控制器操作.在这里检查一下

2.写入检查所需参数的控制器

就这么简单.当参数不在体内时,只需返回一个400或res.badRequest()(在这里查看).

3.使用Waterline帮助您.

HERE的所有方法都有清理数据的方法.但是检查值类型和其他验证(如范围)是你的职责.如果你需要做一个原始的查询,然后像HERE一样使用它,并检查DOCS和"valuesToEscape"arg.

PS:4.使用验证器服务

设置一个需要知名的npm库来为您进行检查的服务!这很有用,因为您可以在SailS应用程序中提供一组共同的代码.