介紹

• 在nodejs中使用sequlize庫來查詢mysql資料庫, 提供了常用的方法有兩種:

  1. 直接查詢sql語句: sequelize.query();
  2. 通過介面,如Project.findAll();

• sequelize的第2種查詢方法在實現上做了防注入處理, 但該方法使用並不是很靈活, 對於經常使用原生sql語句的人來說, 總有一種不適應, 感覺手腳被束縛; 而對於使用方法1, 則必須注意防sql注入;

這裡我測試前面提到的兩種查詢方式如何做到初步的防sql注入功能;

sql注入

產生原因

下面的查詢語句, 加入了使用者輸入的時間項: begin, end

begin = 20161101;
SELECT .. FROM tbl WHERE pdate>=20161101 AND ...;

而如果有人故意輸入如下的引數, 則就會出現sql注入:

begin = '20161101 AND 1=1; -- hack';
SELECT .. FROM tbl WHERE pdate>=20161101 AND 1=1; -- hack ...;

解決辦法

解決上面的辦法, 通常有兩種:
1. 對輸入的引數進行轉義, 因為sql注入通常需要'符號來閉合前面的', 這樣如果位面在輸入的引數中的'全部轉義為\', 則查詢時就不會出現中斷(執行兩條sql語句), 參看下面的例子;
2. 設定mysql只能一次執行一條sql語句;

測試

sequelize.query()與Project.findAll()對比

先看程式碼

var tblName = 'tbl_test', begin = '20160923 AND 1=1;-- hack', end = 20160928;
var sqlQuery = `SELECT * FROM ${tblName} WHERE pdate>=${begin} AND pdate<=${end} GROUP BY pdate`;
Promise.resolve([
    // 第一條查詢
    sequelize.query(sqlQuery),   
    // 第一二條查詢
 

    Project.findAll({   
        attributes: { exclude:['id'] },
        where: {
            pdate: {
                $and:{
                    // 引數中加上了'來閉合前面的', 後面的1=1為注入語句
                    $gte: "20160923' AND 1=1;-- hack",   
                    $lte: end
                }   
            }
        }
    })
]).spread(function(sql1, sql2){

})

• 上面第一個為sequelize.query()執行, 最終執行的查詢語句為:

select * from tbl_test where padte>=20160923 and 1=1;-- hack and pdate<=....; 

結果出現注入, pdate<=..這一塊的條件沒有被執行;

• 上面第二個查詢為Project.findAll()執行, 最終執行的語句為：

select * from tbl_test where pdate>'20160923\' AND 1=1;-- hack' AND pdate<='...'.....; 

顯然，這裡引數裡的20160923'引號沒有起作用， 被轉換為了`20160923\”，所以有效避免了注入， 制查詢了符合要求的資料或空資料；

sequelize.query() + 引數繫結

下面通過sequelize.query()介面提供的引數繫結和查詢方法指定來防止sql注入的發生.

• 下面的查詢語句解析為：
  select * from tbl_test where padte>='20160923 and 1=1;-- hack' and pdate<=....;
  字串被直接替換，沒有被注入;
• 注意，這裡的表名table不能通過bind的引數傳進去， 因為這樣在語句裡會表達為字串: …. from ‘tbl_test’ where …， 這樣是錯誤的語句，所以上面用字串模板傳入，也可以硬編碼進去；

var tblName = 'tbl_test', begin = '20160923 AND 1=1;-- hack', end = 20160928;
var sqlQuery = `SELECT * FROM ${tblName} WHERE pdate>=$begin AND pdate<=$end GROUP BY pdate`;
Promise.resolve([
    sequelize.query(sqlQuery,
        type: ymModel.sequelize.QueryTypes.SELECT,  // 指定sql為SELECT
        bind： { 
            begin: begin, 
            end: end 
        }
    ),
]).spread(function(sql1){

})