TypeORM含原始字符串的插入查询是否易受SQL注入？如何加固？

如果latitude和longitude是用户可控的输入（比如来自前端表单、URL参数），攻击者可以构造恶意值拼接进SQL语句，执行删除表、篡改数据等恶意操作。比如输入latitude = "1); DROP TABLE Restaurants;--"，拼接后的SQL会包含恶意删除逻辑，直接破坏数据库。

方案1：用参数绑定替代字符串拼接 #

TypeORM支持参数绑定机制，将动态值作为独立参数传入，避免直接拼进原始SQL：

return this.restaurantRepo.createQueryBuilder()
  .insert()
  .into(Restaurants)
  .values([{
    name: name,
    location: () => `ST_Point(:latitude, :longitude)`,
    user: user,
  }])
  .setParameters({
    latitude,
    longitude
  })
  .execute();

ST_Point是PostGIS等主流空间数据库支持的函数，直接接收坐标参数，无需手动拼接字符串，能彻底避免注入风险。

方案2：利用TypeORM原生空间类型支持 #

如果你的实体中location字段定义为空间类型，可以直接传入GeoJSON格式对象，TypeORM会自动生成安全的参数化查询：

1. 先安装依赖：npm install @types/geojson
2. 实体定义：

import { Column, Entity } from "typeorm";
import { Point } from "geojson";

@Entity()
export class Restaurants {
  // 其他字段...
  @Column('geometry')
  location: Point;
}

3. 插入代码：

return this.restaurantRepo.createQueryBuilder()
  .insert()
  .into(Restaurants)
  .values([{
    name: name,
    location: {
      type: "Point",
      coordinates: [longitude, latitude] // 注意：GeoJSON坐标顺序是[经度, 纬度]
    },
    user: user,
  }])
  .execute();

这种方式完全不需要手写原始SQL，从根源上规避了注入风险，同时代码更简洁易维护。

内容的提问来源于stack exchange，提问作者BazDaz4