Astro轻应用 AstroZero-脚本代码性能检查规则说明:规则8：SELECT语句中拼接的参数值请谨慎使用入参变量

时间：2023-11-01 16:25:39

Astro轻应用 AstroZero

规则8：SELECT语句中拼接的参数值请谨慎使用入参变量

SELECT语句中，拼接的参数值请谨慎使用入参变量，以免引起SQL注入的风险。

错误代码示例

import * as db from 'db';let errorDemo = "select id,name from object_demo where id = ";errorDemo += input.parameter let errorDemoResult = db.sql().exec(errorDemo)

其中，“input.parameter”为脚本入参。

正确代码示例

import * as db from 'db';let correctDemo = "select id,name from object_demo where id = ?";let correctDemoResult = db.sql().exec(correctDemo, { params: [input.parameter] })

其中，“input.parameter”为脚本入参。

上一篇：Astro轻应用 AstroZero-脚本代码性能检查规则说明:规则4：SELECT语句中查询字段不在表的索引库中

下一篇：Astro轻应用 AstroZero-脚本代码性能检查规则说明:规则10：SELECT语句中谨慎使用order by