避免对 Node.js 中的存储过程进行 SQL 注入
Posted
技术标签:
【中文标题】避免对 Node.js 中的存储过程进行 SQL 注入【英文标题】：Avoiding SQL Injections to the Stored Procedure in Node.js 【发布时间】：2019-06-26 18:45:55 【问题描述】：在调用存储过程时如何避免来自 Node.js 的 SQL 注入
假设我在 UI 的前端输入了一些特殊字符 例如：
如果输入?true将被保存到数据库中
如果输入??`true`将被保存到数据库中
对于一些特殊字符，例如反斜杠（\）和撇号（'）
我将从控制台收到这些类型的错误
From console: '
Error: ER_PARSE_ERROR: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near
'''')' at line 1
at Query.Sequence._packetToError (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\sequences\Sequence.js:47:14)
at Query.ErrorPacket (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\sequences\Query.js:77:18)
at Protocol._parsePacket (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Protocol.js:278:23)
at Parser.write (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Parser.js:76:12)
at Protocol.write (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Protocol.js:38:16)
at Socket.<anonymous> (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\Connection.js:91:28)
at Socket.<anonymous> (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\Connection.js:502:10)
at Socket.emit (events.js:182:13)
at addChunk (_stream_readable.js:283:12)
at readableAddChunk (_stream_readable.js:264:11)
--------------------
at Protocol._enqueue (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Protocol.js:144:48)
at Connection.query (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\Connection.js:200:25)
at Object.saveFeeds (C:\xampp\htdocs\nodechat\middleware\db.js:96:15)
at C:\xampp\htdocs\nodechat\middleware\routes.js:187:12
at Layer.handle [as handle_request] (C:\xampp\htdocs\nodechat\node_modules\express\lib\router\layer.js:95:5)
at next (C:\xampp\htdocs\nodechat\node_modules\express\lib\router\route.js:137:13)
at Route.dispatch (C:\xampp\htdocs\nodechat\node_modules\express\lib\router\route.js:112:3)
at Layer.handle [as handle_request] (C:\xampp\htdocs\nodechat\node_modules\express\lib\router\layer.js:95:5)
at C:\xampp\htdocs\nodechat\node_modules\express\lib\router\index.js:281:22
at Function.process_params (C:\xampp\htdocs\nodechat\node_modules\express\lib\router\index.js:335:12)
code: 'ER_PARSE_ERROR',
errno: 1064,
sqlMessage:
'You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near \'\'\'\')\' at line
1',
sqlState: '42000',
index: 0,
sql: 'CALL AddFeedItems(1,\'\'\')'
undefined
C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Parser.js:80
throw err; // Rethrow non-MySQL errors
^
TypeError [ERR_INVALID_ARG_TYPE]: The first argument must be one of type string or Buffer. Received type undefined
at write_ (_http_outgoing.js:595:11)
at ServerResponse.write (_http_outgoing.js:567:10)
at C:\xampp\htdocs\nodechat\middleware\routes.js:188:17
at Query.<anonymous> (C:\xampp\htdocs\nodechat\middleware\db.js:100:13)
at Query.<anonymous> (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\Connection.js:502:10)
at Query._callback (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\Connection.js:468:16)
at Query.Sequence.end (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\sequences\Sequence.js:83:24)
at Query.ErrorPacket (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\sequences\Query.js:90:8)
at Protocol._parsePacket (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Protocol.js:278:23)
at Parser.write (C:\xampp\htdocs\nodechat\node_modules\mysql\lib\protocol\Parser.js:76:12)
routes.js
app.post('/AddFeedItems', function(req, res)
// console.log(req.body);
try
console.log(JSON.parse(Object.keys(req.body)[0]));
req.body = JSON.parse(Object.keys(req.body)[0]);
catch(err)
console.log('Error');
req.body = req.body
db.saveFeeds(req.body, function(chats)
res.write(JSON.stringify(chats));
res.end();
)
);
db.js
function saveFeeds(data,cb)
const conn = createConnection();
conn.connect();
console.log('From console'+data.keyword);
let sql ="CALL AddFeedItems("+data.senderid + ",'" + data.keyword + "')";
conn.query(sql, true,function(err,result)
if(err) console.log(err);
conn.end();
console.log(result);
cb(result);
);
MySQL 存储过程
CREATE PROCEDURE `AddFeedItems`(IN `senderid` BIGINT(255), IN `keyword` VARCHAR(255)) NOT DETERMINISTIC CONTAINS SQL SQL SECURITY DEFINER
BEGIN
DECLARE LastFeedId INT;
INSERT INTO `feed_item` (`userid`, `content`, `timestamp`, `likes`, `comments`, `user_flag`, `likes_data`) VALUES (senderid, keyword, CURRENT_TIMESTAMP(), 0, 0, 0, 'like');
SET LastFeedId = LAST_INSERT_ID();
INSERT INTO `feed_item_likes` (`feed_item_id`, `user_id`, `timestamp`, `is_like`) VALUES (LastFeedId, senderid, CURRENT_TIMESTAMP(), 0);
SELECT LastFeedId;
END
一般来说，为了防止这些特殊字符注入到 SQL 中。代码中有哪些必要的步骤和注意事项？
编辑：
需要一个函数来去除一组特殊字符，如反斜杠（\）、美元（$）、撇号（@987654333 @) 和问号 (?) 来自 Node.js
所以我找到了替换所有上述特殊字符的解决方案，除了问号（?）。
获得的结果如下：
正则表达式中有问号
data.keyword.replace(/[\\$'"\?]/g, "\\$&")
+-----------+-----------+
|Entered |Saved into |
|Character |Database |
+-----------+-----------+
| ? | rue |
| ?? | rue? |
| ??? | ??? |
+-----------+-----------+
正则表达式中没有问号
data.keyword.replace(/[\\$'"]/g, "\\$&")
+-----------+-----------+
|Entered |Saved into |
|Character |Database |
+-----------+-----------+
| ? | true |
| ?? | `true` |
| ??? | ??? |
+-----------+-----------+
试用内置函数，
var key = mysql.escape(data.keyword);
var key = conn.escape(data.keyword);
let sql ="CALL AddFeedFriendItems("+data.senderid + "," + data.friendid + ",'" + data.friendusername + "'," + key + ")";
结果仍然不理想，问号(?) 将存储为true。
我只需要用 ? 值替换那些问号 (?)。相反，true 或 rue 值将存储到数据库中。
我应该如何编写正则表达式来匹配问号并仅替换为相同的字符？
不使用 MySQL 存储过程，将上面的 saveFeeds() 替换为 db.js
数据将以适当的方式存储
function saveFeeds(data,cb)
const conn = createConnection();
conn.connect();
conn.query(
"INSERT INTO feed_item (userid, content, timestamp, likes, comments, user_flag, likes_data) VALUES (?, ?, ?, ?, ?, ?, ?)", [data.senderid, data.keyword, data.timestamp, 0, 0, 0, 'like'],
function (err, rows)
if(err)
console.log(err);
else
var feedId = rows.insertId;
var feedId = rows.insertId;
conn.query(
"INSERT INTO feed_item_likes (feed_item_id, user_id, timestamp, is_like) VALUES (?, ?, ?, ?)", [feedId, data.senderid, data.timestamp, 0],
function (err, rows)
if(err)
console.log(err);
else
var feedId = rows.insertId;
);
conn.end();
cb(feedId);
);
【问题讨论】：
【参考方案1】：问题不在于您的存储过程，而在于您的 CALL 语句：
sql: 'CALL AddFeedItems(1,\'\'\')'
这会产生一条 SQL 语句：
CALL AddFeedItems(1,''')
连续三个' 引号是无效的语法。它在 CALL 语句上抛出语法错误，它永远不会超过运行存储过程。
如果你想要一个包含文字单引号的带引号的字符串，SQL 必须是以下形式之一：
CALL AddFeedItems(1,'''') -- two single-quotes become one literal single-quote
CALL AddFeedItems(1,'\'') -- escaped single-quote
CALL AddFeedItems(1,"'") -- delimit by alternative quotes, if sql_mode is not ANSI
【讨论】：
您好 Karwin，作为 Oracle ACE 总监，您能否建议我进行任何需要适应我的帖子回答的更改，并感谢您分析根本原因。【参考方案2】：另外，我找到了正则表达式 + Unicode + 内置函数的解决方案
var key = conn.escape(data.keyword);
var keyword = key.replace(/[?]/g, "❓");
let sql ="CALL AddFeedFriendItems("+data.senderid + "," + data.friendid + ",'" + data.friendusername + "'," + keyword + ")";
List of Unicode Characters with Question Mark
默认情况下，排序规则将在 MySQL 中设置为 latin1_swedish_ci。这会混淆是否要保存哪种类型的字符。所以很自然，它会以纯文本格式?保存。虽然通常对于任何 Unicode 字符 ? 都会保存在数据库中。由于排序规则设置为latin1_swedish_ci
注意：需要一些关于将 Unicode 字符保存到 MySQL 中的研究会阻碍性能或通过 B-Tree 索引检索记录会引发任何其他问题。因为当存储超过 999K 消息时，.replace() 会进一步降低性能。因为
默认情况下，排序规则将在 MySQL 中设置为 latin1_swedish_ci
【讨论】：
以上是关于避免对 Node.js 中的存储过程进行 SQL 注入的主要内容，如果未能解决你的问题，请参考以下文章
使用 Node.js 对 JSON 中的字符串大小有限制吗？