mysql - 清理 prosody lua 模块中的 sql 输入

Question

我想要 prosody 从我的 mysql 数据库中读取用户名和密码。Prosody 提供 module我想编辑它可以从sql数据库获取这些信息。

我的问题是:这段lua代码如何防止sql注入(inject)？我在 lua 代码中找不到任何输入清理程序。

Answer 1

它使用 prepared statements 。 sql 包含参数占位符，这些参数单独给出:

getsql("SELECT `password` FROM `authreg` WHERE `username`=? AND `realm`=?", username, module.host);

然后将语句和参数发送到数据库:

local stmt, err = connection:prepare(sql);
local ok, err = stmt:execute(...);

由于参数是单独发送的，因此不存在同样的sql注入(inject)风险。只有getsql第一个参数中的sql被视为sql。其他参数仅被视为数据。