javascript - 服务器端JS防止SQL注入(inject)的正确方法是什么

Question

关闭。此题需要 details or clarity 。目前不接受答案。

---

想要改进这个问题吗？通过 editing this post 添加详细信息并澄清问题.

已关闭 6 年前。

Improve this question

我想了解防止 SQL 注入(inject)的最佳实践。

假设从客户端(index.html)您有一个表单，通过 $.ajax 向服务器端页面提交字符串值数组

var data_to_be_submitted = {
                          "searchTerms":descriptorArray,

                               };


             $.ajax({
                          url: 'get_fact_trans_volume.xsjs',
                           data:data_to_be_submitted,   
                      ....});

在服务器端( get_fact_trans_volume.xsjs )我做了这样的事情:

var searchTerms = [];
searchTerms = $.request.parameters.get("searchTerms") ;

var quotedAndCommaSeparated = "'" + searchTerms.join("','") + "'";

var sqlQuery = "Select ... from table t where t.field in (%S)"

sqlQuery = sqlQuery.replace("%S", searchTerms .toString());

这是否遵循正确的最佳实践？使用 Javascript 构建 SQL 查询的好方法是什么？

Answer 1

有一个PrepareStatement类。

http://help.sap.com/hana/SAP_HANA_XS_JavaScript_API_Reference_en/ $.db.PreparedStatement.html