制作一个javascript字符串sql友好

Question

有没有把一个javascript字符串传递给NodeJS友好的MySQL？我正在尝试将电子邮件地址传递给我的NodeJS服务器并查询到MySQL数据库.使用常用文本(如用户名)工作正常时,但电子邮件地址却没有.明确地使用转义不是正确的答案,因为它不适用于SQL插入.我假设我需要PHP函数的一些东西mysql_real_escape_string().

Answer 1

事实证明,mysql_real_escape_string()非常简单.根据文件:

mysql_real_escape_string()调用MySQL的库函数mysql_real_escape_string,它将反斜杠添加到以下字符:\ x00,\n,\ r,\,',"和\ x1a.

实际上听起来很简单.你可以这样做:

function mysql_real_escape_string (str) {
    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) {
        switch (char) {
            case "\0":
                return "\\0";
            case "\x08":
                return "\\b";
            case "\x09":
                return "\\t";
            case "\x1a":
                return "\\z";
            case "\n":
                return "\\n";
            case "\r":
                return "\\r";
            case "\"":
            case "'":
            case "\\":
            case "%":
                return "\\"+char; // prepends a backslash to backslash, percent,
                                  // and double/single quotes
            default:
                return char;
        }
    });
}

注意:我没有通过任何类型的单元测试或安全测试运行它,但它似乎确实有效 - 而且,作为一个额外的奖励,它逃脱标签,退格和'%'所以它也可以使用在LIKE查询中,根据OWASP的建议(与PHP原始版本不同).

我知道这mysql_real_escape_string()是字符集识别,但我不确定它增加了什么好处.

有这些问题的一个很好的讨论在这里.

Answer 2

对于从 2018 年开始使用此答案的任何人，还值得注意的是，许多 javascript 数据库框架现在都包含 connection.escape 方法。

例如：

var mysql = require('mysql')

var connection = mysql.createConnection( // your connection string here 

var query = "SELECT THING FROM THING WHERE FRED= " + connection.escape( your_string_here ); 

Answer 3

也适用于前端项目的解决方案

安装sqlstring （由mysqljs维护的库）：

npm install sqlstring

如果您使用TypeScript，您还可以安装类型：

npm install @types/sqlstring

然后使用它：

npm install sqlstring

Answer 4

如果有人在寻找,CUBRID RDBMS中的escapeString()的工作方式如下:

var _escapeString = function (val) {
  val = val.replace(/[\0\n\r\b\t\\'"\x1a]/g, function (s) {
    switch (s) {
      case "\0":
        return "\\0";
      case "\n":
        return "\\n";
      case "\r":
        return "\\r";
      case "\b":
        return "\\b";
      case "\t":
        return "\\t";
      case "\x1a":
        return "\\Z";
      case "'":
        return "''";
      case '"':
        return '""';
      default:
        return "\\" + s;
    }
  });

  return val;
};

这是CUBRID Node.js驱动程序的摘录.

Answer 5

使用数组而不是 case 语句：

var regex = new RegExp(/[\0\x08\x09\x1a\n\r"'\\\%]/g)
var escaper = function escaper(char){
    var m = ['\\0', '\\x08', '\\x09', '\\x1a', '\\n', '\\r', "'", '"', "\\", '\\\\', "%"];
    var r = ['\\\\0', '\\\\b', '\\\\t', '\\\\z', '\\\\n', '\\\\r', "''", '""', '\\\\', '\\\\\\\\', '\\%'];
    return r[m.indexOf(char)];
};

//Implementation
"Some Crazy String that Needs Escaping".replace(regex, escaper);

Answer 6

学到了将数字传递给这个函数的艰难方法,导致它被用于悄然死亡的整个过程.所以我添加一点测试:

function mysql_real_escape_string (str) {
    if (typeof str != 'string')
        return str;

    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) {
        switch (char) {
            case "\0":
                return "\\0";
            case "\x08":
                return "\\b";
            case "\x09":
                return "\\t";
            case "\x1a":
                return "\\z";
            case "\n":
                return "\\n";
            case "\r":
                return "\\r";
            case "\"":
            case "'":
            case "\\":
            case "%":
                return "\\"+char; // prepends a backslash to backslash, percent,
                                  // and double/single quotes
        }
    });
}