const title = req.params.title;
const result = await db.query(
"SELECT * FROM exhibits WHERE title ILIKE '%" + req.params.title + "%'",
[req.params.title]
);
res.status(200).json({
status: "success",
results: result.rows.length,
data: {
exhibits: result.rows,
},
});
} catch (error) {
console.log(error);
}
});
error: в сообщении Bind передано неверное число параметров (1, а подготовленный оператор "" требует 0)
в чем проблема?
Я из будущего. Твой код используют для SQL injection, одумайся!
а как? Конкретно в этом случае
это надо придумывать, но раз у тебя там нет функции перобразования в SQL сткроку, то возможны любые манипуляции
"SELECT * FROM exhibits WHERE title ILIKE '%" + req.params.title + "%'" а это же в строку преобразует, разве нет?
что нет, как нет?
ты сырой запрос без буфера напрямую в базу херачишь
Обсуждают сегодня