nodejs中的mysql.format从未转义的输入中安全吗？

Question

我听说准备MySQL查询会阻止注入。我正在使用nodejs，所以我找到了MySql准备查询。根据文件，

您可以使用mysql.format为ids和值使用适当的转义来准备具有多个插入点的查询。

这是否意味着我可以将未转义的内容放入userId并获得名为sql的转义mysql请求。

守则是：

var sql = "SELECT * FROM ?? WHERE ?? = ?";
var inserts = ['users', 'id', userId];
sql = mysql.format(sql, inserts);

Answer 1

这是安全的。

转义是由平方串模块执行的，您可以查看它的源代码以获得更多信息，它非常小。

您应该始终通过使用?占位符或直接调用escape来转义值。但是，更建议使用占位符，因为它保护您免受可能忘记执行手动转义的场景的影响。