防止 Node.js 中的 SQL 注入

Question

是否有可能像 PHP 中的 Prepared Statements 一样防止 SQL 注入（最好使用模块）。

如果是这样，怎么做？如果不是，有哪些示例可能会绕过我提供的代码（见下文）。

---

一些上下文：

我正在使用node-mysql 模块制作一个带有由Node.js + MySql 组成的后端堆栈的Web 应用程序。从可用性的角度来看，这个模块很棒，但它还没有实现类似于 PHP 的 Prepared Statements 的东西（尽管我知道它在 todo 上）。

据我了解，PHP 对预处理语句的实现，除其他外，helped greatly 用于防止 SQL 注入。不过，我担心我的 node.js 应用程序可能会受到类似的攻击，even with the string escaping provided by default（如下面的代码 sn-p 所示）。

node-mysql 似乎是 node.js 最流行的 mysql 连接器，所以我想知道其他人可能会做什么（如果有的话）来解决这个问题 - 或者它是否甚至是 node.js 的问题开始（不确定如何，因为涉及用户/客户端输入）。

我是否应该暂时切换到node-mysql-native，因为它确实提供了准备好的语句？我很犹豫，因为它似乎不像 node-mysql 那样活跃（虽然这可能只是意味着它已经完成）。

这是一个用户注册码的 sn-p，它使用sanitizer 模块，以及 node-mysql 准备好的类似语句的语法（正如我上面提到的，它会进行字符转义），以防止跨站点脚本和sql注入，分别：

// Prevent xss
var clean_user = sanitizer.sanitize(username);

// assume password is hashed already
var post = {Username: clean_user, Password: hash};

// This just uses connection.escape() underneath
var query = connection.query('INSERT INTO users SET ?', post,
   function(err, results)
   {
       // Can a Sql injection happen here?
   });

Answer 1

node-mysql 库在您使用时会自动执行转义。见https://github.com/felixge/node-mysql#escaping-query-values

Answer 2

图书馆在关于转义的自述文件中有一个section。它是 Javascript 原生的，所以我不建议切换到 node-mysql-native。文档说明了这些转义准则：

编辑：node-mysql-native 也是纯 JavaScript 解决方案。

• 数字保持不变
• 布尔值转换为true / false 字符串
• 日期对象被转换为YYYY-mm-dd HH:ii:ss字符串
• 缓冲区被转换为十六进制字符串，例如X'0fa5'
• 字符串被安全转义
• 数组变成列表，例如['a', 'b'] 变成 'a', 'b'
• 嵌套数组转换为分组列表（用于批量插入），例如[['a', 'b'], ['c', 'd']] 变成 ('a', 'b'), ('c', 'd')
• 对象变成key = 'val' 对。嵌套对象被转换为字符串。
• undefined / null 转换为 NULL
• NaN / Infinity 保持原样。 MySQL 不支持这些，并且尝试将它们作为值插入将触发 MySQL 错误，直到它们实现支持。

这允许您执行以下操作：

var userId = 5;
var query = connection.query('SELECT * FROM users WHERE id = ?', [userId], function(err, results) {
  //query.sql returns SELECT * FROM users WHERE id = '5'
});

还有这个：

var post  = {id: 1, title: 'Hello MySQL'};
var query = connection.query('INSERT INTO posts SET ?', post, function(err, result) {
  //query.sql returns INSERT INTO posts SET `id` = 1, `title` = 'Hello MySQL'
});

除了这些函数，你还可以使用转义函数：

connection.escape(query);
mysql.escape(query);

转义查询标识符：

mysql.escapeId(identifier);

作为对您对准备好的陈述的评论的回应：

从可用性的角度来看，这个模块很棒，但它还没有实现类似于 PHP 的 Prepared Statements 的东西。

准备好的语句在此连接器的todo 列表中，但此模块至少允许您指定与准备好的语句非常相似的自定义格式。这是自述文件中的一个示例：

connection.config.queryFormat = function (query, values) {
  if (!values) return query;
  return query.replace(/\:(\w+)/g, function (txt, key) {
    if (values.hasOwnProperty(key)) {
      return this.escape(values[key]);
    }
    return txt;
  }.bind(this));
};

这会更改连接的查询格式，因此您可以使用如下查询：

connection.query("UPDATE posts SET title = :title", { title: "Hello MySQL" });
//equivalent to
connection.query("UPDATE posts SET title = " + mysql.escape("Hello MySQL");

Answer 3

关于测试您正在使用的模块是否安全，您可以采取多种途径。我将介绍每种方法的优缺点，以便您做出更明智的决定。

目前，您正在使用的模块没有任何漏洞，但是，这通常会导致错误的安全感，因为当前很可能存在漏洞正在利用您正在使用的模块/软件包，而您在供应商应用修复/补丁之前不会收到问题警报。

1. 要及时了解漏洞，您需要关注邮件列表、论坛、IRC 和其他与黑客相关的讨论。 专业人士：您经常会在供应商收到警报或发布修复/补丁以修复对其软件的潜在攻击途径之前意识到库中的潜在问题。 CON：这可能非常耗时且占用大量资源。如果您确实使用 RSS 提要、日志解析（IRC 聊天日志）和/或使用关键短语（在本例中为 node-mysql-native）的网络 scraper 和通知，则可以帮助减少时间花费在这些资源上。

2. 创建一个模糊器，使用fuzzer 或其他漏洞框架，例如metasploit、sqlMap 等，以帮助测试供应商可能没有发现的问题。 PRO：这可以证明是确保您正在实施的模块/软件对于公众访问是安全的达到可接受水平的可靠方法。 CON：这也变得耗时且昂贵。另一个问题将源于误报以及对存在问题但未被注意到的结果的未经教育的审查。

真正的安全性，一般来说，应用程序安全性可能非常耗时且资源密集。管理人员将始终使用的一件事是确定执行上述两个选项的成本效益（人力、资源、时间、薪酬等）的公式。

无论如何，我意识到这不是可能一直希望得到的“是”或“否”答案，但我认为在对相关软件进行分析之前，任何人都不能给你这个答案。

Answer 4

Mysql-native 已经过时，所以它变成了MySQL2，这是一个在原始 MySQL 模块团队的帮助下创建的新模块。这个模块有更多的功能，我认为它有你想要的，因为它已经准备了语句（通过 using.execute()），就像在 PHP 中一样，以提高安全性。

它也很活跃（最后一次更改是从 2-1 天）我之前没有尝试过，但我认为这是你想要的，而且还有更多。

Answer 5

防止 SQL 注入

SQL 注入 是一种常见的网络黑客技术，用于破坏或滥用您的数据库。为防止 SQL 注入，当查询值是用户提供的变量时，应使用转义值。

使用 mysql.escape() 方法转义查询值：

var adr = 'Mountain 21';
var sql = 'SELECT * FROM customers WHERE address = ' + mysql.escape(adr);
con.query(sql, function (err, result) {
  if (err) throw err;
  console.log(result);
});

使用占位符转义查询值？方法：

var adr = 'Mountain 21';
var sql = 'SELECT * FROM customers WHERE address = ?';
con.query(sql, [adr], function (err, result) {
  if (err) throw err;
  console.log(result);
});

More Detail

Answer 6

最简单的方法是在导出到路由的自己的模块中处理所有数据库交互。如果你的路由没有数据库的上下文，那么 SQL 无论如何都无法触及它。