mysql - 将数据发送到数据库失败

Question

不知道为什么post功能有问题。它返回“无法获取/api/signup/email/password/nick”。

但是Get函数工作正常

我在任何地方都找不到任何答案。我对后端开发不熟悉。

var express = require('express');
var app = express();
var mysql = require('mysql');

var db = mysql.createConnection({
    host: "localhost",
    user: "root",
    database : "flatduties",
    password: ""
});

db.connect(function(err) {
    if (err) throw err;
    console.log("Connected!");
});


///////////// API //////////////

const router = express.Router();
app.use('/api', router);

router.get('/', (request, response) => {
    response.json({message: 'api v1 - projekt'});
});

router.post('/signup/:email/:passwrd/:nick', function(req, res, next) {  
var mail = req.params.email;
var pass = req.params.passwrd;
var nick = req.params.nick;

db.query("INSERT INTO `user`(`Email`, `Password`, `Nick`) VALUES  ('"+mail+"', '"+pass+"', '"+nick+"');", function (error, results,fields) {
  if(error){
    res.send(JSON.stringify({"status": 500, "error": error, "response": null}));
  } else {
    res.send(JSON.stringify({"status": 200, "error": null, "response": results}));
  }
});
});

router.get('/login/:email/:passwrd', function(req, res, next) {
  var email = req.params.email;
  var pass = req.params.passwrd;

  db.query("SELECT UserID, Email, Password, Nick, GroupID FROM user WHERE Email ='"+email+"' AND Password ='"+pass+"';", function (error, results, fields) {
  if(error){
    res.send(JSON.stringify({"status": 500, "error": error, "response": null}));
  } else {
    res.send(JSON.stringify({"status": 200, "error": null, "response": results}));
  }
});
});

app.listen(8888);

Answer 1

@Tadman 在评论中的警告咆哮是完全正确的。互联网上充斥着网络蠕虫，只是希望某人的网站像您的网站一样不安全。如果这个网站可供全世界使用，那么它几乎肯定会在一周内被攻陷。

在 Stack Overflow 上，当人们做不安全的事情时，我们会大力插入。为什么我们对此如此坚定？我怎么知道这种事情是危险的？这是一个漫长而尴尬的故事。

切勿在这样的 URL 中输入密码

https://pwned.example.com/login/oskar%40example.com/secret 

它将出现在您的网络服务器日志中。然后，您和任何看到您日志的人都会知道您的用户密码。用户真的不喜欢这样。

要处理登录内容，我建议您查看 passport扩展至 Node/ express 。

要对密码进行哈希处理，请查看 bcrypt 。

综上所述:

您有此代码。

router.post('/signup/:email/:passwrd/:nick', function(req, res, next) { /*unsafe*/
    var mail = req.params.email;
    var pass = req.params.passwrd;
    var nick = req.params.nick;
    db.query("INSERT....

您在 Node/快速程序中想要的更像是这样。您从 POST 操作的主体(有效负载)获取参数。

const bcrypt = require('bcrypt');
const saltRounds = 10;
...
router.post('/signup', function(req, res, next) {
    const mail = req.body.email;
    const pass = req.body.passwrd;
    const nick = req.body.nick;
    /* securely hash the password */
    bcrypt.hash(pass, saltRounds, function(err, hash) {
       /* store hash, never pass, in your database. */
       db.query("INSERT ...
    });
 ...

然后，在你的 html 中，你需要这样的东西(未经调试，而且样式绝对不漂亮。)

 <form method="post" action="https://example.com/signup">
     <input type="email" name="email" placeholder="Your email address" />
     <input type="password" name="passwrd" />
     <input type="text" name="nick" placeholder="Your nickname" />
     <input type="submit" name="submit" value="Sign Up Now" />
 </form>

当您的用户单击“立即注册”时，网络浏览器会将表单发布到您的 Node/express 应用程序，并在正文中包含表单字段，而不是 URL。