我需要知道如何防止NodeJS sequelize ORM上的sql注入

Question

我是nodejs sequelize ORM的初学者。我想知道如何防止NodeJS sequelize ORM上的sql注入。

示例

我有一个像http://localhost:3000/admin/video/edit/5这样的路由，控制器看起来像

    albumEdit: async (req, res) => {
        const editInfoId = req.params.id;
        await Movie.findOne({ where: { id: editInfoId } }).then((movie) => {
            if (movie) {
                res.render('admin/movies/edit', { title: 'Edit Movie On Page One', movie });
            }
        });
    },

现在我需要知道如何保护数据库免受SQL注入？

Answer 1

Sequelize表示您已经避免了{ where: { id: editInfoId } }注入，因为Sequelize将SQL值作为静态字符串处理，并将其作为参数传递给底层id查询。

当从不受信任的来源传递一些字符串时，使用不带任何where查询片段的SQL选项可以很好地避免SQL注入。

尝试只使用简单的object-like条件(就像您上面所做的那样)，或者使用Sequelize.Op中的一些运算符的组合。