Tag: sql injection

为什么mysql.escape会将“hello”parsing为“\”hello \“

我将首先逃避参数，然后在查询时连接sqlstring。 所以当我连接查询string使用like ： const name = mysql.escape(req.info.name) const sqlString = `select…name like '%${name}%'` 这将导致select … where name like '%'hello'%' ，但我想要的是select … where name like '%hello%'

如何在Node.JS中为MSSQL创build预准备语句？

我需要在Javascript中插入一个string到MSSQL表中。 这是我迄今为止： 使用Javascript： var message = "It's a great day today!"; $.post('www.server.com/message='+message, function(response){ console.log(response); }); Node.js服务器： //….. a bunch of code has been used to accept the HTTP request and get the message… // for the purpose of this example, the message is asigned to 'NodeMsg' var mssqldb = require("../core/mssql"); var NodeMsg = theMessageReceivedFromHTTPRequest; function […]