Node.js日志中SQL注入怎么防

在Node.js中，防止SQL注入的最佳實踐是使用參數化查詢或預編譯語句。這些方法可以確保用戶輸入的數據不會被解釋為SQL代碼的一部分，從而有效地防止SQL注入攻擊。以下是一些建議：

1. 使用參數化查詢（Parameterized Queries）： 參數化查詢是一種將用戶輸入的數據與SQL查詢語句分開的方法。這樣，用戶輸入的數據就不會被解釋為SQL代碼的一部分。在Node.js中，可以使用各種數據庫客戶端庫（如mysql、pg、sqlite3等）來實現參數化查詢。

例如，使用mysql庫的參數化查詢：

const mysql = require('mysql');
const connection = mysql.createConnection({
  host: 'localhost',
  user: 'your_user',
  password: 'your_password',
  database: 'your_database'
});

connection.connect();

const userId = '1; DROP TABLE users; --';
const query = 'SELECT * FROM users WHERE id = ?';

connection.query(query, [userId], (error, results, fields) => {
  if (error) throw error;
  console.log(results);
});

connection.end();

2. 使用預編譯語句（Prepared Statements）： 預編譯語句是一種將SQL查詢語句的結構與數據分開的方法。這樣，用戶輸入的數據就不會影響查詢語句的結構。在Node.js中，可以使用各種數據庫客戶端庫（如pg、sqlite3等）來實現預編譯語句。

例如，使用pg庫的預編譯語句：

const { Client } = require('pg');
const client = new Client({
  host: 'localhost',
  user: 'your_user',
  password: 'your_password',
  database: 'your_database'
});

client.connect();

const userId = '1; DROP TABLE users; --';
const query = 'SELECT * FROM users WHERE id = $1';

client.query(query, [userId], (error, results) => {
  if (error) throw error;
  console.log(results.rows);
});

client.end();

3. 使用ORM（對象關系映射）庫： ORM庫（如Sequelize、TypeORM等）提供了一種抽象層，使您能夠以面向對象的方式編寫數據庫查詢。這些庫通常會自動處理參數化查詢和預編譯語句，從而降低SQL注入的風險。

例如，使用Sequelize庫：

const { Sequelize, DataTypes } = require('sequelize');

const sequelize = new Sequelize('your_database', 'your_user', 'your_password', {
  host: 'localhost',
  dialect: 'mysql'
});

const User = sequelize.define('User', {
  id: {
    type: DataTypes.INTEGER,
    primaryKey: true,
    autoIncrement: true
  },
  name: DataTypes.STRING
});

(async () => {
  await sequelize.sync();

  const userId = '1; DROP TABLE users; --';
  const users = await User.findAll({
    where: {
      id: userId
    }
  });

  console.log(users);
})();

總之，遵循以上建議，使用參數化查詢、預編譯語句或ORM庫，可以有效地防止Node.js應用程序中的SQL注入攻擊。