从 SQL 注入生成的查询的安全性如何?

Question

我正在尝试制作一个适用于多个单词的搜索栏，但我担心SQL注入。

我正在使用带有npm mssql包的节点表达。

以下是获取条件、生成 SQL 并运行它的代码：

router
.get('/search/:criteria', function (req, res) {
var criteria = req.params.criteria;
var words = criteria.split(" ");
var x = ""
words.map(word => x += `name like '%${word}%' and `);
x = x.substring(0, x.length - 5); // Remove trailing 'and'
var query = `SELECT * FROM table WHERE ${x}`
new sql.ConnectionPool(db).connect().then(pool => {
return pool.request().query(query)
}).then(result => {
})
});

搜索something to search将导致以下查询：

SELECT * FROM table 
WHERE 
name like '%something%'
and name like '%to%'
and name like '%search%'

我自己尝试了一些SQL注入，但似乎都不起作用。

---

注意：我知道我们应该始终为此使用输入。它适用于一个单词，但我不知道如何使用许多单词的输入。前任：

new sql.ConnectionPool(db).connect().then(pool => {
return pool.request()
.input('input', '%'+criteria+'%')
.query(query)
})

Answer 1

答案是：不安全。您的代码也完全没有做任何事情来确保它的安全。不要通过将用户提供的数据连接/内插到语句中来构建 SQL。

此外，你也不会为LIKE本身做任何逃逸，所以这同样是不干净的。

如果需要动态 SQL，请使用预期数量的占位符构建预准备的 SQL 语句，然后将用户提供的值绑定到这些占位符。

router.get('/search/:criteria', (req, res) => {
const ps = new sql.PreparedStatement();
const sqlConditions = [];
const escapedValues = {};
// set up escaped values, safe SQL bits, PS parameters
req.params.criteria.split(" ").forEach((v, i) => {
const paramName = 'val' + i;
escapedValues[paramName] = v.replace(/[\%_]/g, '\$&');
sqlConditions.push(`name LIKE '%' + @${paramName} + '%' ESCAPE ''`);
ps.input(paramName, sql.VarChar);
});
// build safe SQL string, prepare statement
const sql = 'SELECT * FROM table WHERE ' + sqlConditions.join(' AND '); 
ps.prepare(sql);
// connect, execute, return
ps.execute(escapedValues).then(result => {
res(result)
});
});

(免责声明：代码未经测试，因为我现在没有可用的SQL Server，但你明白了。