node-mysql中防止SQL注入的方法总结

mysql.escape(param)
connection.escape(param)
pool.escape(param)

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = ' + connection.escape(userId) + ', name = ' + connection.escape(name), function(err, results) {
  // ...
});
console.log(query.sql); // SELECT * FROM users WHERE id = 1, name = 'test'

var userId = 1, name = 'test';
var query = connection.query('SELECT * FROM users WHERE id = "htmlcode">

var post = {userId: 1, name: 'test'};
var query = connection.query('SELECT * FROM users WHERE "color: #3366ff">方法三： 使用escapeId()编码SQL查询标识符：

如果你不信任用户传入的SQL标识符（数据库、表、字符名），可以使用escapeId()方法进行编码。最常用于排序等。
escapeId()有如下三个功能相似的方法：


mysql.escapeId(identifier)
connection.escapeId(identifier)
pool.escapeId(identifier)


例如：


var sorter = 'date';
var sql  = 'SELECT * FROM posts ORDER BY ' + connection.escapeId(sorter);
connection.query(sql, function(err, results) {
 // ...
});


方法四： 使用mysql.format()转义参数：
准备查询，该函数会选择合适的转义方法转义参数 　　 mysql.format()用于准备查询语句，该函数会自动的选择合适的方法转义参数。
例如：


var userId = 1;
var sql = "SELECT * FROM ";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts); // SELECT * FROM users WHERE id = 1


总结
以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作带来一定的帮助，如果有疑问大家可以留言交流。