又是被查詢語句弄死的一天。。。

項(xiàng)目做一個(gè)登陸，一直查不出用戶數(shù)據(jù)，不知道查詢語句哪里有問題。

var userName = req.param('userName')? ?// 獲取前臺(tái)傳過來的userName值

1.let sql =? `select * from user where userName = ${userName} `? ?//查不到

2. let sql =? 'select * from user where userName = userName'? //查不到? ?

3. let sql = 'select * from user where userName = "' + userName + '"'? //查到了

4. let sql =? 'select * from user where userName = ？'

pool.query(sql,[userName],(err, result) => {}? ? ? //查到了。。。? ? ? ? ?

總結(jié)：前端傳來的數(shù)據(jù)如果是字符串放到sql語句中需要拼接字符串，但拼接字符串比較繁瑣容易拼錯(cuò)，二是容易造成sql注入攻擊。建議使用上述第4種查詢方式，也就是占位符注入查詢的查詢方式。

參考：https://www.jb51.net/article/107441.htm