在 SQL 注入中使用 LIKE 构建查询是否安全？

Question

我的快速应用程序中有一个接受 POST 数据 (json) 的端点。我想使用这些数据安全地查询 MySQL 数据库。转义和更改我的字符串是否会使我容易受到剥削？

我需要更改来自请求的字符串，因为我不想在 LIKE 子句的结束单引号之前插入“%”。

var searchTerm = mysql.escape(req.body.firstName)
var newStr = "'" + searchTerm.substring(1, searchTerm.length - 1) + "%'"

// Example:  'alex' => 'alex%'

我的查询是：

SELECT * FROM tbl WHERE col LIKE " + newStr + " ORDER BY key

这可行，但有没有首选或更安全的方法来做到这一点？

供参考：

• 我正在使用我正在使用这个包：https://github.com/felixge/node-mysql

更新/回答

根据EternalHour 的回答，正确的语法是：

var newStr = req.body.firstName + "%"
var sql = "SELECT cols FROM tbl WHERE col LIKE ? ORDER BY key"
sql = mysql.format(sql, newStr)

Answer 1

使用下面的方法直接尝试 newStr（不要显式添加 %）：

SELECT * FROM tbl WHERE col LIKE '" + newStr + "%' ORDER BY key

Answer 2

你应该通过Prepared Statement：

C#：

//Creates new SQL Command with parameter @newStr
var command = new SqlCommand( "SELECT * FROM tbl WHERE col LIKE '@newStr' ORDER BY key", db);

//Set paramater @newStr to 40 characters
command.Parameters.Add("@newStr", SqlDbType.VarChar, 40);

//Prepares the statement, after all parameters are defined
command.Prepare();

//Set Parameter @newStr to "newStrValue"
command.Parameters["@newStr"] = "newStrValue";

//Executes the Command
command.Execute();

对于 Node.js，有一个包支持准备好的语句：

https://www.npmjs.com/package/mysql2

使用Prepared Statements，SQL Injection 永远不会发生，因为数据库知道这是用户输入，而不是 SQL 命令。

Answer 3

正如 Christian 所建议的（在不同的编程语言中），使用准备好的语句是最安全的选择。看起来您需要重新格式化您的字符串以删除单引号（因为准备好的语句通常会自动转义）。看来这个库也不例外。

对这个库不熟悉，但看起来会是这样的：

var query = "SELECT * FROM tbl WHERE col LIKE ? ORDER BY key";
var newStr = searchTerm.substring(1, searchTerm.length - 1) + "%";
sql = mysql.format(query, newStr);

附带说明，尽量不要在 SQL 选择语句中使用 *。