Jangan lakukan
Anda bertanya tentang solusi yang salah untuk masalah tersebut.
Untuk mengganti apostrof dengan backslash-apostrof Anda dapat menggunakan:
str = msg.replace(/'/g, '\\\'');
tetapi Anda tidak boleh melakukan itu . Saya hanya memberikan info itu karena itulah pertanyaan Anda, tetapi baca di bawah.
Mengapa itu ide yang buruk
Anda tidak boleh melakukannya di sisi klien dan Anda juga tidak boleh melakukannya di sisi server. Jika menghindari kerentanan injeksi SQL adalah masalah sederhana mengganti apostrof dengan backslash-apostrof maka itu tidak akan menjadi masalah. Sayangnya ini lebih rumit.
Memiliki info yang Anda berikan, bahkan tidak mungkin untuk mengetahui apakah tanda garis miring terbalik akan melakukan apa yang Anda harapkan di tempat pertama tanpa melihat kode Anda yang benar-benar membuat kueri basis data. Tapi itu tidak masalah karena Anda seharusnya tidak pernah melakukan itu. Tidak pernah. Lihat jawaban tersebut untuk mengetahui alasannya - pertanyaan tersebut bukan tentang injeksi SQL tetapi contoh kode menyertakan kerentanan injeksi SQL dan jawabannya menjelaskannya:
- tidak dapat menggunakan backtick saat menggunakan nodejs 7.3.0
- Node js - Peringatan Penolakan Janji saat memproses banyak data
- Apakah mungkin untuk mendengarkan instantiasi objek di Node.js?
Komik strip wajib
Apa yang harus Anda lakukan sebagai gantinya
Karena itu, Anda tidak memberi tahu modul apa yang Anda gunakan untuk menanyakan database tetapi tidak masalah jika Anda menggunakan mysql module atau Sequelize atau apa pun yang sepadan, harus selalu ada mekanisme interpolasi variabel dengan cara yang aman tanpa melepaskan dan menggabungkan string secara manual.
Contoh
Anda bahkan tidak menunjukkan satu baris kode pun yang relevan di sini, jadi saya tidak dapat memberi tahu Anda cara memperbaikinya, tetapi pertimbangkan contoh ini:
Tidak aman:
connection.query(
"SELECT * FROM player WHERE nick = '"
+ data.login + "' AND pass = '" + data.pass + "'",
function (err, rows) {
//...
}
);
Masih tidak aman, rumit, tidak dapat dibaca, tidak dapat dipelihara, dan tidak dapat diandalkan:
connection.query(
"SELECT * FROM player WHERE nick = '"
+ data.login.replace(/'/g, '\\\'') + "' AND pass = '" + data.pass.replace(/'/g, '\\\'') + "'",
function (err, rows) {
//...
}
);
Aman dan sederhana:
connection.query(
"SELECT * FROM player WHERE nick = ? AND pass = ?", [data.login, data.pass],
function (err, rows) {
// ...
}
);
Info selengkapnya
Untuk info lebih lanjut lihat dokumen:
