默认情况下，Sequelize.js是否转义用于SQL注入的输入？

Question

如果我尝试像这样使用Sequelize.js：

model.user.create
(
    {
        username : user_name,
        password : hashed_password
    },
    {
        attribute : ['id'],
        raw : true
    }
);

Sequelize.js会确保user_name不会引起任何SQL注入吗？还是我应该确保在将它交给Sequelize.js之前将其转义？（在模型中，用户名和密码都只是type : Sequelize.TEXT）

Answer 1

从我在Sequelize v4 和 v5 的源代码insertQuery()中看到的情况来看，该函数在生成的查询中转义了它可以转义的所有内容。下面是实际的escape()功能实现。