如何确保 Webkit Javascript 数据库的字符串安全

Question

我正在编写一个 Webkit 应用程序，它从 RSS 提要导入数据并将其存储在 Javascript 数据库中。由于数据来自外部源，我想确保字符串在插入数据库之前是安全的。例如，在 PHP 中，我将使用“mysql_real_escape_string”函数来转义引号和其他字符。

理想情况下，我希望远离本机功能，以便可以使用 WebKit 在多个手机平台（iPhone、黑莓、Android）上部署该应用程序。

链接到等效的 PHP 函数： http://php.net/manual/en/function。 mysql-real-escape-string.php

JavaScript 数据库文档链接： https://developer.apple.com/ Library/archive/documentation/iPhone/Conceptual/SafariJSDatabaseGuide/UsingtheJavascriptDatabase/UsingtheJavascriptDatabase.html

示例代码：

目前是：

mydb.transaction(
    function(transaction) {
        transaction.executeSql("INSERT INTO rss (url,title) VALUES (?,?);",["www.some-rss-feed.com","a title containing a' quote"], successFunction, errorFunction);
    }
);

理想情况下应该类似于以下内容，其中“a_safe_function”是名称使字符串对数据库安全的函数。

mydb.transaction(
    function(transaction) {
        transaction.executeSql("INSERT INTO rss (url,title) VALUES (?,?);",[a_safe_function("www.some-rss-feed.com"),a_safe_function("a title containing a' quote")], successFunction, errorFunction);
    }
);

我正在使用的库：

• iPhoneGap
• JQueryMobile
• JQuery

Answer 1

单独传递查询和参数时不必进行任何转义。

合并查询和参数是一件丑陋的事情，主要是针对 PHP+MySQL 完成的，因为 PHP 在 PDO 之前没有正确的方法来分别传递查询和参数 - 即使现在很多人也不使用 PDO，而是转义它们的值（或者忘记它； x) 并同义地构建 SQL 字符串：/