На сколько безопасен sql запрос с подстановкой в него данных без обработки с клиента?

Question

[Boris007]

Во многих примерах данных просто вставляются в запрос
Но разве так нельзя прокинуть команду ;DROP и выполнить инъекцию?

const user_name= req.body.username 
const user_password = req.body.user_password
const query = `INSERT INTO users (user_name, user_password) VALUES ('${user_name}', '${user_password}')`

pgPool.query(query)

Comments

[Kentavr16]

Так просто используйте подготовленные выражения и все.

[Boris007]

Kentavr16, где можно найти пример с использованием node + psql?
Про это практический нет инфы
https://www.npmjs.com/package/pg

[Kentavr16]

Boris007, не смешно ) В данном примере ты вроде используешь библиотеку pg. Идешь в оффдоки, читаешь. Там вот пример

const text = 'INSERT INTO users(name, email) VALUES($1, $2) RETURNING *'
const values = ['brianc', '[e-mail]']
 
const res = await client.query(text, values)
console.log(res.rows[0])
// { name: 'brianc', email: '[e-mail]' }

итого потрачено времени около 30 секунд. Я кстати тоже задавал такой же вопрос на сервере, но мне просто ткнули в подготовленные выражения - этого достаточно

[Boris007]

Kentavr16, спасибо, я почему-то думал, что доллар это удобная вставка, а не подготовленный запрос )

[Kentavr16]

Boris007, это два в одном выходит) Очень часто все вопросы в оффдоках.

[Boris007]

Kentavr16, напиши это в ответ, пожалуйста, отмечу

Answer 1

[Василий Дёмин]

Можно прокинуть что угодно, следовательно так делать не безопасно. Чтобы избежать инъекций, используйте подготовленные выражения

Comments

[Boris007]

Про это ничего нет
Сколько не вводил в поиск node js + psql + подготовленные запросы
А при хоть каких-то результатах там обсуждения 0 и ссылки на пакет со скачиванием по 40 шт.
https://www.npmjs.com/package/pg

[Василий Дёмин]

Boris007, Первая ссылка в гугле, раздел Parameterized query

Answer 2

[Петр]

Примерно так.

INSERT INTO users (user_name, user_password) VALUES ('' + (select user_password from users where  user_name = "admin") + '',  '${user_password}')