Предотвращение инъекции SQL в узел.js

библиотека раздел в readme о побеге. Это Javascript-родной, поэтому я не предлагаю переключаться на node-mysql-native. В документации содержатся следующие рекомендации по побегу:

Edit:node-mysql-native также является чистым решением Javascript.

• номера остаются нетронутыми
• логические значения преобразуются в true/false строки
• объекты даты преобразуются в YYYY-mm-dd HH:ii:ss строки
• буферы преобразуются в шестнадцатеричные строки, например X'0fa5'
• строки благополучно экранированы
• массивы превращаются в список, например,['a', 'b'] превращается в 'a', 'b'
• вложенные массивы превращаются в сгруппированные списки (для массовых вставок), например [['a', 'b'], ['c', 'd']] превращается в ('a', 'b'), ('c', 'd')
• объекты превращаются в key = 'val' пар. Вложенные объекты приводятся к веревка.
• undefined/null превращается в NULL
• NaN/Infinity остаются как есть. MySQL не поддерживает их, и попытка вставить их в качестве значений вызовет ошибки MySQL, пока они не реализуют поддержку.

это позволяет вам делать такие вещи, как:

var userId = 5;
var query = connection.query('SELECT * FROM users WHERE id = ?', [userId], function(err, results) {
  //query.sql returns SELECT * FROM users WHERE id = '5'
});

а также:

var post  = {id: 1, title: 'Hello MySQL'};
var query = connection.query('INSERT INTO posts SET ?', post, function(err, result) {
  //query.sql returns INSERT INTO posts SET `id` = 1, `title` = 'Hello MySQL'
});

помимо этих функций, вы также можете использовать escape функции:

connection.escape(query);
mysql.escape(query);

чтобы избежать идентификаторов запроса:

mysql.escapeId(identifier);

и в ответ на ваш комментарий к подготовленным заявлениям:

С точки зрения удобства использования модуль великолепен, но он еще не реализовал что-то похожее на подготовленные заявления PHP.

подготовленные заявления находятся на todo список для этого соединителя, но этот модуль, по крайней мере, позволяет задавать пользовательские форматы, которые могут быть очень похожи на подготовленные заявления. Вот пример из readme:

connection.config.queryFormat = function (query, values) {
  if (!values) return query;
  return query.replace(/\:(\w+)/g, function (txt, key) {
    if (values.hasOwnProperty(key)) {
      return this.escape(values[key]);
    }
    return txt;
  }.bind(this));
};

это изменяет формат запроса соединения, так что вы можете использовать такие запросы:

connection.query("UPDATE posts SET title = :title", { title: "Hello MySQL" });
//equivalent to
connection.query("UPDATE posts SET title = " + mysql.escape("Hello MySQL");

Я понимаю, что это старый пост, но кажется, что ответ так и не был отмечен, поэтому я здесь.

Что касается тестирования, если модуль, который вы используете, является безопасным или нет, есть несколько маршрутов, которые вы можете взять. Я коснусь плюсов / минусов каждого из них, чтобы вы могли принять более обоснованное решение.

В настоящее время нет никаких уязвимостей для модуля, который вы используете, однако, это часто может привести к ложному чувству безопасности, так как там очень хорошо это может быть уязвимость, которая в настоящее время использует модуль/программный пакет, который вы используете, и вы не будете предупреждены о проблеме, пока поставщик не применит исправление/исправление.

1. чтобы быть в курсе уязвимостей, вам нужно будет следить за списками рассылки, форумами, IRC и другими обсуждениями, связанными с хакерством. PRO: вы часто можете узнать о потенциальных проблемах в библиотеке до того, как поставщик был предупрежден или выпустил исправление / исправление для устранения потенциала авеню атаки на их программное обеспечение. Кон: это может быть очень трудоемким и ресурсоемким. Если вы идете по этому маршруту, бот использует RSS-каналы, анализ журналов (журналы чатов IRC) и или веб-скраппер с использованием ключевых фраз (в данном случае node-mysql-native) и уведомлений может помочь сократить время, затрачиваемое на троллинг этих ресурсов.

2. создать fuzzer, использовать fuzzer или другие рамки уязвимости, такие как metasploit,sqlMap etc. чтобы помочь проверить наличие проблем, которые поставщик, возможно, не искал. PRO: это может оказаться верным методом огня обеспечения до приемлемого уровня, является ли модуль/программное обеспечение, которое вы реализуете, безопасным для общественного доступа. CON: это также становится трудоемким и дорогостоящим. Другая проблема будет вытекать из ложных срабатываний, а также необразованного обзора результатов, где проблема находится, но не замечается.

действительно безопасность и безопасность приложений в вообще может быть очень трудоемким и ресурсоемким. Одна вещь, которую менеджеры всегда будут использовать, - это формула для определения эффективности затрат (рабочая сила, ресурсы, время, оплата и т. д.) выполнения вышеупомянутых двух вариантов.

в любом случае, я понимаю, что это не ответ " да " или "нет", который, возможно, надеялся, но я не думаю, что кто-то может дать вам это, пока они не проведут анализ рассматриваемого программного обеспечения.

самый простой способ-обрабатывать все ваши взаимодействия с базой данных в своем собственном модуле, который вы экспортируете в свои маршруты. Если ваш маршрут не имеет контекста базы данных, то SQL не может коснуться его в любом случае.

Я знаю, что этот вопрос старый, но для всех, кто интересуется, Mysql-native устарел, поэтому он стал MySQL2 это новый модуль, созданный с помощью команды исходного модуля MySQL. Этот модуль имеет больше возможностей, и я думаю, что он имеет то, что вы хотите, как он подготовил заявления(с помощью.выполнить()) как в PHP для большей безопасности.

Он также очень активен(последнее изменение было от 2-1 дней) я не пробовал его раньше, но я думаю, что это то, что вы хотите и больше.