sequelize.query() 原生查询使用replacements 参数能防sql注入吗？

问答

Zzurmokeeper发布于8 年前最后回复8 年前|3 回复4144 浏览0 收藏

sequelize.query('SELECT * FROM projects WHERE status = ?',
  { replacements: ['active'], type: sequelize.QueryTypes.SELECT }
).then(projects => {
  console.log(projects)
})

像这里的status的值的查询？

查看回复

zurmokeeper#1·8 年前

引用 zy445566还是走mysql的预编译好，防注入，而且后续同类型的sql还省去了部分编译过程，以致后续同类型sql执行速度也会快一些

@zy445566 因为项目已经是采用了sequelize这个中间件了，所以只能对症下药了。

zurmokeeper#2·8 年前

本人用sqlmap工具测试过，是可以防Sql注入的。欢迎大家的补充。

zy445566#3·8 年前

还是走mysql的预编译好，防注入，而且后续同类型的sql还省去了部分编译过程，以致后续同类型sql执行速度也会快一些

参与回复

登录后即可参与回复。登录

sequelize.query() 原生查询使用replacements 参数能防sql注入吗？

回复 (3)