Tworzenie javascript string sql friendly

Question

Czy jest tam, aby ciąg znaków javascript był przekazywany do NodeJS przyjaznego dla MySQL? Próbuję przekazać adres e-mail do mojego serwera NodeJS i wysłać zapytanie do bazy danych MySQL. Robiąc zwykły tekst, taki jak nazwa użytkownika, działa dobrze, ale adres e-mail nie działa. Używanie ewakuacji wyraźnie nie jest właściwą odpowiedzią, ponieważ nie jest przeznaczone do wstawiania SQL. Zakładam, że potrzebuję czegoś na linii funkcji PHP mysql_real_escape_string().

Answer 1

Okazuje się, że mysql_real_escape_string() jest dość trywialne. According to the documentation:

mysql_real_escape_string() wywołuje funkcję biblioteki MySQL mysql_real_escape_string, która poprzedza backslashy do następujących znaków: \ x00 \ n, \ r, \”" i \ X1A

.

Brzmi dość proste, w rzeczywistości mógłby zrobić coś takiego:.

function mysql_real_escape_string (str) { 
    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) { 
     switch (char) { 
      case "\0": 
       return "\\0"; 
      case "\x08": 
       return "\\b"; 
      case "\x09": 
       return "\\t"; 
      case "\x1a": 
       return "\\z"; 
      case "\n": 
       return "\\n"; 
      case "\r": 
       return "\\r"; 
      case "\"": 
      case "'": 
      case "\\": 
      case "%": 
       return "\\"+char; // prepends a backslash to backslash, percent, 
            // and double/single quotes 
     } 
    }); 
} 

UWAGA: nie mam uruchomić ten wszelkimi s test jednostkowy lub test bezpieczeństwa, ale wydaje się, że działa - i, tak jak dodatkowy bonus, wymyka się z kart, spacji i "%", więc może być również używany w zapytaniach LIKE, zgodnie z OWASP's recommendations (w przeciwieństwie do Oryginał PHP).

Wiem, że mysql_real_escape_string() jest świadomy zestawu znaków, ale nie jestem pewien, jakie korzyści dodać.

Istnieje dobra dyskusja na te tematy: over here.

Answer 2

W przypadku gdy ktoś szuka, ten escapeString() w CUBRID RDBMS działa następująco:

var _escapeString = function (val) { 
    val = val.replace(/[\0\n\r\b\t\\'"\x1a]/g, function (s) { 
    switch (s) { 
     case "\0": 
     return "\\0"; 
     case "\n": 
     return "\\n"; 
     case "\r": 
     return "\\r"; 
     case "\b": 
     return "\\b"; 
     case "\t": 
     return "\\t"; 
     case "\x1a": 
     return "\\Z"; 
     case "'": 
     return "''"; 
     case '"': 
     return '""'; 
     default: 
     return "\\" + s; 
    } 
    }); 

    return val; 
}; 

Jest to fragment CUBRID Node.js driver.

Answer 3

Jeśli grasz ze znakami CJK http://en.wikipedia.org/wiki/CJK_characters lub niektórych specjalnych ikon emocjonalnych iOS/Android/Inne ... telefonów komórkowych, takich jak "‡ ‰ ™ ©" lub decodeURIComponent ("\ XF3 \ xBE \ XAD \ xA0") .

Musisz ustawić my.cnf jak ten

[client] 
default-character-set = utf8mb4 

[mysqld] 
character-set-server = utf8mb4 
skip-character-set-client-handshake 

Answer 4

Używanie tablic zamiast oświadczenie koperty:

var regex = new RegExp(/[\0\x08\x09\x1a\n\r"'\\\%]/g) 
var escaper = function escaper(char){ 
    var m = ['\\0', '\\x08', '\\x09', '\\x1a', '\\n', '\\r', "'", '"', "\\", '\\\\', "%"]; 
    var r = ['\\\\0', '\\\\b', '\\\\t', '\\\\z', '\\\\n', '\\\\r', "''", '""', '\\\\', '\\\\\\\\', '\\%']; 
    return r[m.indexOf(char)]; 
}; 

//Implementation 
"Some Crazy String that Needs Escaping".replace(regex, escaper); 

Answer 5

nauczkę, że przechodząc numerów do tej funkcji powoduje, że całość proces jest używany do umrzeć po cichu. Więc dodam mały test:

function mysql_real_escape_string (str) { 
    if (typeof str != 'string') 
     return str; 

    return str.replace(/[\0\x08\x09\x1a\n\r"'\\\%]/g, function (char) { 
     switch (char) { 
      case "\0": 
       return "\\0"; 
      case "\x08": 
       return "\\b"; 
      case "\x09": 
       return "\\t"; 
      case "\x1a": 
       return "\\z"; 
      case "\n": 
       return "\\n"; 
      case "\r": 
       return "\\r"; 
      case "\"": 
      case "'": 
      case "\\": 
      case "%": 
       return "\\"+char; // prepends a backslash to backslash, percent, 
            // and double/single quotes 
     } 
    }); 
}