node.js - Sequelize在哪里选项sql注入(inject)？

Question

以下sequelize调用是否容易受到sql注入(inject)攻击？

var dataDirectlyFromTheUserWithoutValidation = req.query.filter 
Record.findAll({where: dataDirectlyFromTheUserWithoutValidation})

Answer 1

是，适用于 4 以下的版本。

该库包含 source code 中的注释SELECT 查询组合指出，

If you use a string, you have to escape it on your own.

Sequelize 将未转义和未参数化的 options.where 哈希值插入由目标引擎执行的字符串中(我仅检查了 MSSQL )。

因此调用者需要注意清理所有用户输入，以减轻应用程序中可能存在的 SQL 注入(inject)漏洞。

作者claim to have addressed此漏洞从 v4 开始。从 v3.16 开始，与 ORDER 和 LIMIT 子句相关的其他漏洞已得到解决。