该node-mysql库在使用时会自动执行转义，就像您已经在做的那样。见https://github.com/felixge/node-mysql#escaping-query-values

图书馆有部分在有关转义自述。它是 Javascript-native，所以我不建议切换到node-mysql-native。文档说明了这些转义指南：

编辑： node-mysql-native也是一个纯 Javascript 解决方案。

• 数字保持不变
• 布尔值转换为true/false字符串
• 日期对象转换为YYYY-mm-dd HH:ii:ss字符串
• 缓冲区被转换为十六进制字符串，例如 X'0fa5'
• 字符串被安全转义
• 数组变成列表，例如['a', 'b']变成'a', 'b'
• 嵌套数组变成分组列表（用于批量插入），例如[['a', 'b'], ['c', 'd']]变成('a', 'b'), ('c', 'd')
• 对象变成key = 'val'对。嵌套对象被转换为字符串。
• undefined/null转换为NULL
• NaN/Infinity保持原样。MySQL 不支持这些，并且尝试将它们作为值插入将触发 MySQL 错误，直到它们实现支持。

这允许您执行以下操作：

var userId = 5;
var query = connection.query('SELECT * FROM users WHERE id = ?', [userId], function(err, results) {
  //query.sql returns SELECT * FROM users WHERE id = '5'
});

还有这个：

var post  = {id: 1, title: 'Hello MySQL'};
var query = connection.query('INSERT INTO posts SET ?', post, function(err, result) {
  //query.sql returns INSERT INTO posts SET `id` = 1, `title` = 'Hello MySQL'
});

除了这些函数之外，您还可以使用转义函数：

connection.escape(query);
mysql.escape(query);

转义查询标识符：

mysql.escapeId(identifier);

作为对您对准备好的声明的评论的回应：

从可用性的角度来看，该module很棒，但它还没有实现类似于 PHP 的 Prepared Statements 的功能。

准备好的语句在此连接器的待办事项列表中，但该module至少允许您指定与准备好的语句非常相似的自定义格式。这是自述文件中的一个示例：

connection.config.queryFormat = function (query, values) {
  if (!values) return query;
  return query.replace(/\:(\w+)/g, function (txt, key) {
    if (values.hasOwnProperty(key)) {
      return this.escape(values[key]);
    }
    return txt;
  }.bind(this));
};

这会更改连接的查询格式，因此您可以使用如下查询：

connection.query("UPDATE posts SET title = :title", { title: "Hello MySQL" });
//equivalent to
connection.query("UPDATE posts SET title = " + mysql.escape("Hello MySQL");

关于测试您使用的module是否安全，您可以采用多种方法。我将介绍每种方法的优缺点，以便您做出更明智的决定。

目前，您正在使用的module没有任何漏洞，但是，这通常会导致错误的安全感，因为当前很可能存在正在利用您正在使用的module/软件包的漏洞，而您不会在供应商应用修复/补丁之前收到问题警报。

1. 为了及时了解漏洞，您需要关注邮件列表、论坛、IRC 和其他与黑客相关的讨论。优点：在供应商收到警报或发布修复/补丁以补救对其软件的潜在攻击途径之前，您经常会意识到库中的潜在问题。缺点：这可能非常耗时且资源密集。如果你使用RSS提要走这条路僵尸，日志分析（IRC聊天记录），并或web刮板使用的关键短语（在这种情况下，节点的MySQL原生）和通知可以帮助减少花费曳这些资源的时间。

2. 创建一个模糊器，使用模糊器或其他漏洞框架（例如metasploit、sqlMap等）来帮助测试供应商可能没有寻找的问题。优点：这可以证明是一种万无一失的方法，可以确保您正在实施的module/软件是否可以安全地供公众访问，达到可接受的水平。缺点：这也变得耗时且昂贵。另一个问题将源于误报以及对存在问题但未被注意到的结果的未受教育的审查。

真正的安全性和一般的应用程序安全性可能非常耗时且资源密集。管理者将始终使用的一件事是确定执行上述两个选项的成本效益（人力、资源、时间、薪酬等）的公式。

无论如何，我意识到这不是一个可能一直希望的“是”或“否”答案，但我认为在他们对相关软件进行分析之前，没有人可以给你这个答案。

Mysql-native 已经过时了，所以它变成了MySQL2，这是一个在原始 MySQL module团队的帮助下创建的新module。该module具有更多功能，我认为它具有您想要的功能，因为它已准备好语句（通过使用.execute()），就像在 PHP 中一样，以提高安全性。

它也非常活跃（最后一次更改是从 2-1 天开始）我之前没有尝试过，但我认为这是您想要的等等。

防止 SQL 注入

SQL 注入是一种常见的网络黑客技术，用于破坏或滥用您的数据库。为了防止 SQL 注入，当查询值是用户提供的变量时，您应该使用转义值。

使用 mysql.escape() 方法转义查询值：

var adr = 'Mountain 21';
var sql = 'SELECT * FROM customers WHERE address = ' + mysql.escape(adr);
con.query(sql, function (err, result) {
  if (err) throw err;
  console.log(result);
});

使用占位符转义查询值？方法：

var adr = 'Mountain 21';
var sql = 'SELECT * FROM customers WHERE address = ?';
con.query(sql, [adr], function (err, result) {
  if (err) throw err;
  console.log(result);
});

更多详情