推荐答案
在 Express 中防止 SQL 注入的最佳实践是使用参数化查询或预编译语句。具体可以通过以下方式实现：
- 使用 ORM（对象关系映射）库：如 Sequelize、TypeORM 等，这些库会自动处理 SQL 注入问题。
- 使用参数化查询：如果你直接使用 SQL 查询，确保使用参数化查询而不是拼接字符串。
const sql = 'SELECT * FROM users WHERE username = ? AND password = ?';
connection.query(sql, [username, password], (error, results) => {
if (error) throw error;
console.log(results);
});- 使用预编译语句：大多数数据库驱动支持预编译语句，这可以防止 SQL 注入。
const sql = 'SELECT * FROM users WHERE username = ? AND password = ?';
const statement = connection.prepare(sql);
statement.execute([username, password], (error, results) => {
if (error) throw error;
console.log(results);
});本题详细解读
什么是 SQL 注入？
SQL 注入是一种常见的安全漏洞，攻击者通过在输入字段中插入恶意 SQL 代码，从而操纵数据库查询。这可能导致数据泄露、数据篡改甚至数据库服务器被完全控制。
为什么参数化查询能防止 SQL 注入？
参数化查询通过将用户输入的数据作为参数传递给 SQL 查询，而不是直接将其嵌入到查询字符串中。这样，数据库会将输入数据视为数据而不是可执行的 SQL 代码，从而防止了 SQL 注入。
使用 ORM 的好处
ORM 库如 Sequelize 或 TypeORM 提供了更高层次的抽象，自动处理 SQL 查询的生成和执行。它们通常会自动使用参数化查询，从而减少了手动编写 SQL 查询时可能引入的 SQL 注入风险。
直接使用 SQL 查询时的注意事项
如果你选择直接使用 SQL 查询，务必避免拼接用户输入的数据到查询字符串中。始终使用参数化查询或预编译语句来确保安全性。
示例代码解析
在示例代码中，? 是占位符，表示将要传入的参数。connection.query 或 statement.execute 方法会将用户输入的数据安全地传递给数据库，从而防止 SQL 注入。
通过遵循这些最佳实践，你可以有效地防止 SQL 注入攻击，保护你的应用程序和数据库安全。