Почему любой запрос к базе вызывает одинаковую ошибку?

Question

[historydev]

Доброе утро,скажите пожалуйста,почему у меня в строке появляются эти символы: \
Я уже и replace пробовал,и splice ничего не помогает,их как бы и нет,но они есть когда ошибку выводит,я ночь убил в поисках решения.Помогите пожалуйста.

app.post('/register-step2', (req,res,next) => {
	let email = req.body.email;
	let role = req.body.role;
	let firstname = req.body.firstname;
	let password = req.body.password;

	let select = "SELECT * FROM users WHERE email = '" + email + "'";
	let insert = "INSERT INTO users (firstname,email,password,role) VALUES('" + firstname + "','" + email + "','" + hash + "','" + role + "')"

	connection.query(select, (err,res) => {

		if (res.length < 1) {

			bcrypt.genSalt(saltRounds, (err, salt) => {
    			bcrypt.hash(password, salt, (err, hash) => {

					connection.query(insert, (err,res) => {
				  	
					  	if(err) console.log(err);
					  	
					  	else {
					  		console.log(email)
					  	}

					});

				});
			});

		}

		else {

			return console.log('user registered!');

		}

	});

	return res.redirect('/step2')
});

code: 'ER_PARSE_ERROR',
errno: 1064,
sqlMessage:
'You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near \'\'Text)\' at line 1',
sqlState: '42000',
index: 0,
sql:
'INSERT INTO users (firstname,email,password,role) VALUES(\'History\',\'[e-mail]\',\'$2b$10$0bfFB/gNQaMIDPKc34zq.em3/DRAgrHiO5YpkizNA7gfqt1ZkQcHW\',\'Text)' }

Comments

[historydev]

Весь прикол в том,что все работало,до этого запроса,а теперь не один не работает,все слетело..И выдает идентичную ошибку,которую вызвал последний запрос и я уже не знаю что делать.Я пересобрал npm,перезагрузил ноут 2 раза,сервера.Все без толку..

Answer 1

[Шохрух Шаймардонов]

let select = `SELECT * FROM users WHERE email = '${email}'`;
let insert = `INSERT INTO users (firstname, email, hash, role) VALUES('${firstname}' ,'${email}', '${password}', '${role}')`

Comments

[historydev]

ему на деле плевать на новый синтаксис,я не знаю что еще сделать,ошибка одинаковая

app.post('/register-step2', (req,res,next) => {
	let email = req.body.email;
	let role = req.body.role;
	let firstname = req.body.firstname;
	let password = req.body.password;

	let select = `SELECT * FROM users WHERE email = '${email}'`;
	let insert = `INSERT INTO users (firstname, email, hash, role) VALUES('${firstname}' ,'${email}', '${password}', '${role}')`

	connection.query(select, (err,res) => {

			if (res.length < 1) {

				bcrypt.genSalt(saltRounds, (err, salt) => {
	    			bcrypt.hash(password, salt, (err, hash) => {

						connection.query(insert, (err,res) => {
					  	
						  	if(err) console.log(err);
						  	
						  	else {
						  		console.log(email)
						  	}

						})

					})
				})

			}

			else {

				return console.log('user registered!');

			}

		})

	// const insertToUsers = new Query(`INSERT INTO`,`users`,`firstname,email,password,role`,`'${firstname}','${email}','${password}','${role}'`)

	// insertToUsers.send()

	return res.redirect('/step2')
});

[historydev]

Понимаете куда копать нужно,я уже структуру запроса изменил,а он мне показывает самую первую,сейчас у меня пароль последний,а здесь роль последняя до сих пор..Может node.js переустановить?

[Шохрух Шаймардонов]

Владимир, попробуйте сначала как в стэковерфло(ссылку выше кидал) написано. Удалите нод.модули и заново установите зависимости, также удалите кеш с помощью --force флага. И если это не спасет, то уже как вы и говорите. Переустановить ноду

[historydev]

Шохрух Шаймардонов, хорошо,спасибо,буду пробовать

[historydev]

Шохрух Шаймардонов, может проблема в том как я отсылаю данные на клиенте?Переустановил пакеты,почистил кэш,толку 0,проверил еще до этого другие скрипты,они работают,не работает только этот момент,где я данные не из формы получаю,а промисом кидаю..

Вот так:

async function sendUser(url,name,email,role,password) {
    			this.url = url
				this.name = name
				this.email = email
				this.role = role
				this.password = password
				this.options = {
					method: 'POST',
					headers: {
						'Content-Type': 'application/json'
					},
					body: 
					JSON.stringify({
						name: this.name,
						email: this.email,
						role: this.role,
						password: this.password
					})			
				}

				const response = await fetch(this.url,this.options)
				const data = await response.json()

				if(data) {
					alert('ok')
				}
				else {
					alert('null')
				}

		}

//Клик на кнопку 

const user = {
    			name: $('#firstname').val(),
    			email: $('#email').val(),
    			role: $('#role').val(),
    			password: $('#password').val()
    		}
    		sendUser('/register-step2',user.name,user.email,user.role,user.password)

[Шохрух Шаймардонов]

Владимир, ну на бэке вы же получаете все данные, как вам нужно

[historydev]

Шохрух Шаймардонов, это да,сейчас переустановлю нод,посмотрим,может пройдёт

Answer 2

[Евгений]

Кто так sql запросы пишет? За это палками надо бить.
Лучше потратить ночь на изучение prepared statements, а не на написание очередной дыры для sql инъекции

connection.query('INSERT INTO users SET ?', {email: 'email@email'})

Comments

[historydev]

Добрый день.
1. А в чем разница?
2. Есть ли какая-то тулза для тестов на инъекции
3. Это поможет?
4. Это один из или единственный вариант?

[Евгений]

Владимир, это не один из, а единственно правильный вариант.

[historydev]

Евгений, если несколько свойств то перечислять вот так?

{option: value},{option: value}
Или 
{option: value,option: value}

[Евгений]

const express = require('express');
const bodyParser = require('body-parser');
const util = require('util');
const mysql = require('mysql');

const pool = mysql.createPool({
  host: 'localhost',
  port: 3306,
  user: 'root',
  password: '',
  database: 'test'
});
pool.getConnection((err, connection) => {
  if (err) {
    console.error(err.code);
  }
  if (connection) connection.release();
});
pool.query = util.promisify(pool.query);

const app = express();
app.use(bodyParser.json());

app.post('/register', async (req, res) => {
  const { email, firstname, password, role } = req.body;

  const [{ counter }] = await pool.query('select count(*) as counter from users where email = ?', [email]);
  if (!counter) {
    await pool.query('insert into users set ?', { email, firstname, password, role });
  }
  res.send('ok');
});

app.listen(3000, () => {
  console.log('app listening 3000!');
});

curl --header "Content-Type: application/json" --request POST --data '{"firstname":"firstname","email":"email@email", "password": "password", "role": "role"}' localhost:3000/register

[historydev]

Евгений, а можете пожалуйста комментарии накинуть?Разберу подробнее пул соединения,я видел их одним глазом,там вроде можно контролировать максимальное кол-во подключений и т.д.,а так-же я вижу вот это например,объект,а зачем там = req.body,для того чтобы обращаться .email(req.body.email)?

const { email, firstname, password, role } = req.body; это вы 4 константы создаёте или что строчка делает?Я где-то это видел.зря не погуглил..

[Евгений]

Владимир, надо учиться по современным статьям и книгам, а не за 2015 год.
для начала стоит прочитать это https://learn.javascript.ru/
В частности там есть ответ на вопрос выше https://learn.javascript.ru/destructuring-assignme...

[historydev]

Евгений, спасибо,это круто и удобно

[historydev]

Евгений, а если переменная не совпадает именем с названием столбца таблицы?

[Евгений]

Владимир, всегда можно сделать так
{ var1: var2 }

[historydev]

Евгений, ошибка

await pool.query('insert into users set ?', { email, firstname, password: pass, role })

Password = NULL

[historydev]

Евгений, а зачем там bodyParser? util я понял,но ради одной функции целый пакет подключать?express.json() не подходит?

pool.query = util.promisify(pool.query) судя по документации она возвращает асинхронную функцию или промис,но зачем оно здесь?

Если я не могу все равно вызвать в любом месте await pool.query( ... ) ?

[historydev]

Евгений, в документации mysql порт не указан в параметрах,зачем вы его указали,это какой-то обязательный параметр для безопасности или ваше предпочтение?