当前获取登录用户ID用于SQL查询的方法是否安全？求替代方案

问题描述 #

我想了解当前获取登录用户ID并用于公共项目SQL查询的方法是否足够安全，目前找不到其他获取方式，但觉得该方法较为直接。若此方法不安全，希望能得到可行的替代方案，提前感谢。

技术栈 #

• socket.io
• hbs（Handlebars）
• express
• node.js
• jwt
• mysql

当前实现步骤 #

1. 在express的pages.js路由中，通过/accueil路由将登录用户ID传入页面模板：

router.get('/accueil', authController.isLoggedIn, (req, res) => {
    if(req.user) {
        res.render('./accueil', {
            data: req.user.id
        });
    } else {
        res.redirect('/');
    }
});

2. 在Handlebars模板（index.hbs）中渲染用户ID：

<div id="iduser">{{data}}</div>

3. 前端client.js中获取DOM元素内容得到用户ID：

let userid = document.getElementById('iduser').innerHTML;

4. 通过socket.io将用户ID传给服务器，用于SQL查询：

db.query('UPDATE users SET money = money + ? WHERE id = ?', [100, theUserId]);

安全性分析 #

你的当前方法存在严重安全漏洞：

• 任何用户都能通过浏览器开发者工具修改iduser的DOM内容，或者直接篡改前端代码里的userid值，再通过socket.io传给服务器。这会导致服务器执行SQL时使用伪造的用户ID，比如攻击者可以随意修改其他用户的money字段，属于典型的越权操作风险。
• 虽然你用了参数化查询避免了SQL注入，但身份验证环节的漏洞会导致更严重的业务逻辑破坏。

可行替代方案 #

结合你使用的JWT和socket.io技术栈，推荐两种安全的实现方式：

方案1：socket连接时验证JWT获取用户ID #

1. 前端建立socket连接时，把登录后的JWT token（通常存在localStorage或cookie）通过查询参数传递：

// client.js
const token = localStorage.getItem('jwtToken');
const socket = io({
  query: { token: token }
});

2. 服务器端在socket连接建立时验证JWT，解析出用户ID并绑定到socket实例：

// app.js
const jwt = require('jsonwebtoken');

io.on('connection', (socket) => {
  const token = socket.handshake.query.token;
  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    // 将用户ID绑定到socket，后续直接使用
    socket.userId = decoded.id;
  } catch (err) {
    // 验证失败，直接断开连接
    socket.disconnect(true);
    return;
  }

  // 后续处理socket事件时，直接用socket.userId
  socket.on('updateMoney', () => {
    db.query('UPDATE users SET money = money + ? WHERE id = ?', [100, socket.userId]);
  });
});

方案2：通过HTTP会话关联socket连接 #

如果你的authController.isLoggedIn是基于express-session实现的，可以通过cookie关联socket和用户会话：

1. 配置socket.io支持cookie解析：

// app.js
const cookieParser = require('cookie-parser');
const session = require('express-session');

app.use(cookieParser());
app.use(session({ /* 你的session配置（如存储方式、密钥等） */ }));

// 让socket.io读取cookie
const io = require('socket.io')(server, {
  cookie: true
});

2. 服务器端通过session获取用户ID：

io.on('connection', async (socket) => {
  // 从cookie中获取sessionID，查询会话数据
  const sessionId = socket.handshake.cookies['connect.sid'];
  // 根据你的session存储方式（如Redis、内存）查询会话
  const session = await getSessionFromStore(sessionId);
  
  if (!session || !session.user) {
    socket.disconnect(true);
    return;
  }
  socket.userId = session.user.id;

  // 后续事件处理直接使用socket.userId
});

关键注意事项 #

• 永远不要信任前端传来的用户身份信息，所有涉及用户身份的操作必须在服务器端完成验证。
• JWT要使用强密钥，设置合理的过期时间，不要在token中存储敏感数据。
• 继续保持参数化查询的写法，避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Karloux