javascript - 使用 Javascript 预防 WebSQL 注入(inject)

Question

我四处搜索但没有找到这个问题的答案。

Javascript 中是否有类似于 PHP 的 mysql_real_escape_string 的函数，可以在将用户输入写入 WebSQL 数据库之前进行安全的用户输入？

如果没有，有人知道我可以使用的自定义函数吗？

更新:所以好像没有native函数，所以写了:

function sql_real_escape_string(val){
    var val = val.replace('"','"');
    val = val.replace('\'','’');
    return val;
}

为了安全起见，我应该替换任何其他字符吗？

Answer 1

在插入数据库时​​处理用户输入的最佳答案是使用参数化。 Web SQL API 支持这一点:

var db = openDatabase('mydb', '1.0', 'my database', 2 * 1024 * 1024);
db.transaction(function (tx) {
  tx.executeSql('INSERT INTO foo (id, text) VALUES (?, ?)', [id, userValue]);
});

取而代之的是:

db.transaction(function (tx) {
  tx.executeSql('INSERT INTO foo (id, text) VALUES (1, "user-entered value")');
});