jQuery、javascript 数组/对象 SQL 注入问题

Question

我遇到了问题，但我不知道如何解决它。 我的网站上有一个模块显示一些数据，它使用 jquery dom 并从 javascript 数组创建一些元素，其中包含 javascript 对象。 该数组是用 php 生成的，它从 postgres 数据库获取数据。

因此，如果用户尝试注入数据库，数据库会将字符串存储为普通条目，我对此没有任何问题。 当我想列出内容时出现问题。但是，仅限于客户端。列表完成，我生成了字符串，我将其传递到客户端，创建了 dom 元素，但它们没有内容。我使用php函数addslashes()来逃避转义，但我只会遇到麻烦。

所以：这是数组

[
    {"id": "26", "text": "RSS Feed collection"},
    {"id": "50", "text": "\\ \' "}
]

正如您所看到的，最后一个包含测试注入

编辑
HTML 代码：

 <div class="item">
     <span>Text</span>
 </div>

这是使用 jQuery 生成的。

JS 部分：

var myArray = [the upper array];
var container = $("#container");

for( nI=0, nC = myArray.length; nI<nC; nI++) {
    var currentObj = myArray[nI];
    var newItem = $("<div />").appendTo(container);
    $("<span />").appendTo(item).html(currentObj.text);
}

结果是不可见的，数组看起来不错，但是通常文本应该在的每个地方都是空的。问题是为什么？

Answer 1

嗯，听起来您正在将斜杠 (\) 发布到数据库中以转义单引号。

Mysql 和其他数据库使用重复引号来存储 varchar 值（见下文，即双单引号：' x 2）。

INSERT INTO jsonTable (`ID`, `Json`) 
VALUES (5, 
'{ "field": "value with escaped ''single'' quotation marks"}');

情况会变成这样：

ID    Json
-----------------------------------
5     { "field": "value with escaped 'single' quotation marks" }

您最好将 php/javascript 转义字符 (\) 放在一边，并通过以下任一方式限制自己转义引号：

a) 使用 参数化查询，这是最好的方法，因为你不必担心你所拥有的转义与否：

$preparedStatement = 
  $db->prepare('INSERT INTO jsonTable (`ID`, `Json`) VALUES (5, :json');

$preparedStatement->execute(array(':json' => $json));

$rows = $preparedStatement->fetchAll();

b) 通过加倍来替换单引号：

$sqlEscaped = str_replace("'", "''", $json);

至于双引号 " 标记：如果您在上面使用了参数化查询，那么您不必担心，但如果您打算替换SQL 字符串中的字符仅当您在 INSERT / UPDATE 脚本中使用双引号来分隔字符串时才变得相关，即：

INSERT INTO jsonTable (`ID`, `Json`) 
VALUES (5, 
/* Note how the string below begins and ends with (") */
"{ ""field"": ""value with escaped  \\""double\\"" quotation marks""}");

和：

ID    Json
-----------------------------------
5     { "field": "value with escaped \"double\" quotation marks" }

Answer 2

听起来您只是遇到了 JavaScript 问题。作为一个好的实践，您应该通过创建 HTML 项目数组来最小化 DOM 操作操作，以便通过单个 DOM 方法执行来附加它们。试试这个：

var myArray = [{"text": "First"}, {"text": "Second"}, {"text": "\\ \' "}],
 items   = [];

for(nI = 0, nC = myArray.length; nI < nC; nI++) {
    items.push('<div><span>' + myArray[nI].text + '</span></div>');
}

$('#container').append(items.join(""));

在这里测试