Это собранный код из решений в интернете, так что может

Question

Это собранный код из решений в интернете, так что может

быть не правильным. Но будет ли такой запрос защищенным от SQL Injection? Или мне нужно делать проверку?
Т.е. 'permissions' и 'status' могут содержать SQL Injection

#backend #devops #pgsql #programming #russian

0

04.01.2020

2 ответов

14 просмотров

Vlad

https://www.veracode.com/blog/secure-development/how-prevent-sql-injection-nodejs

0

04.01.2020

Yaroslav Schekin · Accepted Answer

> Но будет ли такой запрос защищенным от SQL Injection? Конечно, не будет. > Или мне нужно делать проверку? Какую "проверку"? От SQL injection в идеале защищаются параметризацией, либо (если параметризация невозможна — у Вас не тот случай!) уж использованием встроенных (т.е. надёжных и оттестированных!) escaping functions, предоставляемых клиентом, а не какими-то "проверками"! Вот, опять-таки, пример параметризуемого запроса (с JSON): https://dbfiddle.uk/?rdbms=postgres_12&fiddle=0e230b6fbba208095f591a2bfeb2e706 Другой вариант — использовать API для механизма PREPARE на клиенте (если такое есть), и вставлять по одной записи. Т.е. что-то вроде: prepared_insert = prepare("INSERT ... VALUES ($1, $2, ...) ..."); execute(prepared_insert, 1, 'hello', ...); execute(...); execute(...) ...".

172 похожих чатов

Это собранный код из решений в интернете, так что может

2 ответов

Похожие вопросы