製作一個javascript字符串sql友好

Question

是否有必要將JavaScript字符串傳遞給NodeJS友好的MySQL？我試圖將電子郵件地址傳遞給我的NodeJS服務器並查詢到MySQL數據庫。當做常規文本，如用戶名工作正常，但電子郵件地址沒有。顯然使用轉義不是正確的答案，因爲它不適用於SQL插入。我假設我需要PHP函數mysql_real_escape_string()的一些東西。

Answer 1

事實證明，mysql_real_escape_string（）非常簡單。 According to the documentation：

mysql_real_escape_string（）調用MySQL的庫函數mysql_real_escape_string，其中前添加反斜槓以下字符：\ X00，\ n，\ r，\，」，「和\ X1A

。

聽起來很簡單，其實你可以做這樣的事情：

function mysql_real_escape_string (str) { 
    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) { 
     switch (char) { 
      case "\0": 
       return "\\0"; 
      case "\x08": 
       return "\\b"; 
      case "\x09": 
       return "\\t"; 
      case "\x1a": 
       return "\\z"; 
      case "\n": 
       return "\\n"; 
      case "\r": 
       return "\\r"; 
      case "\"": 
      case "'": 
      case "\\": 
      case "%": 
       return "\\"+char; // prepends a backslash to backslash, percent, 
            // and double/single quotes 
     } 
    }); 
} 

注意：我沒有經過任何的run這個單元測試或安全測試，但它似乎工作 - 並且，作爲額外的獎勵，它逃脫選項卡，退格和'％'，因此它也可以在LIKE查詢中使用，按照OWASP's recommendations（不同於PHP原創）。

我知道mysql_real_escape_string()是字符集意識，但我不確定增加什麼好處。

對這些問題有很好的討論over here。

Answer 2

萬一有人在CUBRID RDBMS作品尋找的escapeString（）如下：

var _escapeString = function (val) { 
    val = val.replace(/[\0\n\r\b\t\\'"\x1a]/g, function (s) { 
    switch (s) { 
     case "\0": 
     return "\\0"; 
     case "\n": 
     return "\\n"; 
     case "\r": 
     return "\\r"; 
     case "\b": 
     return "\\b"; 
     case "\t": 
     return "\\t"; 
     case "\x1a": 
     return "\\Z"; 
     case "'": 
     return "''"; 
     case '"': 
     return '""'; 
     default: 
     return "\\" + s; 
    } 
    }); 

    return val; 
}; 

這是CUBRID Node.js driver的摘錄。

Answer 3

如果您使用的是CJK字符http://en.wikipedia.org/wiki/CJK_characters或iOS/Android /其他手機的某些特殊情感圖標（如「 ‡‰™©」或decodeURIComponent（「\ xF3 \ xBE \ xAD \ xA0」）） 。

您將需要設置你的my.cnf這樣

[client] 
default-character-set = utf8mb4 

[mysqld] 
character-set-server = utf8mb4 
skip-character-set-client-handshake 

Answer 4

使用數組，而不是一個case語句：

var regex = new RegExp(/[\0\x08\x09\x1a\n\r"'\\\%]/g) 
var escaper = function escaper(char){ 
    var m = ['\\0', '\\x08', '\\x09', '\\x1a', '\\n', '\\r', "'", '"', "\\", '\\\\', "%"]; 
    var r = ['\\\\0', '\\\\b', '\\\\t', '\\\\z', '\\\\n', '\\\\r', "''", '""', '\\\\', '\\\\\\\\', '\\%']; 
    return r[m.indexOf(char)]; 
}; 

//Implementation 
"Some Crazy String that Needs Escaping".replace(regex, escaper); 

Answer 5

學到了艱辛的方式，通過數字來此功能使整它被用於安靜地死亡。所以我添加了一個小測試：

function mysql_real_escape_string (str) { 
    if (typeof str != 'string') 
     return str; 

    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) { 
     switch (char) { 
      case "\0": 
       return "\\0"; 
      case "\x08": 
       return "\\b"; 
      case "\x09": 
       return "\\t"; 
      case "\x1a": 
       return "\\z"; 
      case "\n": 
       return "\\n"; 
      case "\r": 
       return "\\r"; 
      case "\"": 
      case "'": 
      case "\\": 
      case "%": 
       return "\\"+char; // prepends a backslash to backslash, percent, 
            // and double/single quotes 
     } 
    }); 
}