Sequelize：在文字字符串中轉義字符串

Question

我可以在 Sequelize 中使用literal來手動構建 SQL 查詢部分：

sequelize.literal(`"foo".bar ILIKE '%baz%'`)

但是如果我想在這個文字塊中添加一個var，我現在介紹SQL注入漏洞：

sequelize.literal(`"foo".name ILIKE '%${myVar}%'`)

是否有一種 Sequelize 方法來保護文字塊中的變量？

Answer 1

你可以使用escape ：

const escapedSearch = sequelize.escape(`%${myVar}%`);
sequelize.literal(`"foo".name ILIKE ${escapedSearch}`);

參見： https://sequelize.org/master/class/lib/sequelize.js~Sequelize.html#instance-method-escape

Answer 2

您可以使用replacements和? 避免 sql 注射：

sequelize.query(`"foo".name ILIKE '%?%'`,
  { replacements: [myVar], type: sequelize.QueryTypes.SELECT }
)

Answer 3

嘗試

description = {
    $like: sequelize.literal(`${myVar} ESCAPE '\\'`)
};