Node.js应用连接Azure SQL困境：全IP白名单还是切换托管平台？

别着急放弃Heroku或者直接给Azure SQL开放全IP访问——前者迁移成本太高，后者安全性风险极大。其实Fixie和Proximo这类代理完全可以和tedious或node-mssql完美集成，下面给你详细的实现步骤：

一、集成Fixie代理的具体操作 #

Fixie会给你提供代理地址（格式通常是http://用户名:密码@代理主机:端口），你可以通过配置连接库的代理选项来走流量。

对于node-mssql（基于tedious封装）： #

node-mssql支持直接指定代理实例，我们用http-proxy-agent来创建代理对象：

1. 先安装依赖：

npm install mssql http-proxy-agent

2. 编写连接代码：

const sql = require('mssql');
const { HttpProxyAgent } = require('http-proxy-agent');

// 从Heroku环境变量读取Fixie代理地址（部署后Heroku会自动注入）
const proxyUrl = process.env.FIXIE_URL;
const proxyAgent = new HttpProxyAgent(proxyUrl);

const dbConfig = {
    user: '你的Azure SQL用户名',
    password: '你的Azure SQL密码',
    server: '你的SQL服务器地址.database.windows.net',
    database: '目标数据库名',
    options: {
        encrypt: true, // Azure SQL必须开启加密连接
        agent: proxyAgent // 核心：指定代理
    }
};

async function connectToDB() {
    try {
        await sql.connect(dbConfig);
        console.log('通过Fixie代理成功连接Azure SQL！');
        // 这里可以执行你的查询逻辑
    } catch (err) {
        console.error('连接失败：', err);
    }
}

connectToDB();

对于原生tedious库： #

原生tedious的配置逻辑和上面一致，同样在options里指定代理即可：

const { Connection } = require('tedious');
const { HttpProxyAgent } = require('http-proxy-agent');

const proxyUrl = process.env.FIXIE_URL;
const proxyAgent = new HttpProxyAgent(proxyUrl);

const dbConfig = {
    authentication: {
        options: {
            userName: '你的Azure SQL用户名',
            password: '你的Azure SQL密码'
        },
        type: 'default'
    },
    server: '你的SQL服务器地址.database.windows.net',
    options: {
        database: '目标数据库名',
        encrypt: true,
        agent: proxyAgent // 配置代理
    }
};

const connection = new Connection(dbConfig);

connection.on('connect', (err) => {
    if (err) {
        console.error('连接失败：', err);
    } else {
        console.log('通过Fixie代理成功连接Azure SQL！');
        // 执行数据库操作
    }
});

connection.connect();

二、集成Proximo代理的方法 #

Proximo的配置逻辑和Fixie几乎完全一样，只是读取的环境变量是PROXIMO_URL。把上面代码里的process.env.FIXIE_URL替换成process.env.PROXIMO_URL，就能直接使用Proximo代理了。

三、为什么绝对不建议开放全IP访问 #

把Azure SQL的白名单设为0.0.0.0/0意味着任何公网IP都能尝试连接你的数据库，这会大幅提升暴力破解、SQL注入等攻击的风险——哪怕是测试环境，也尽量不要这么做，安全性代价太高。

四、什么时候考虑切换到Azure平台 #

如果代理方案出现稳定性问题（比如频繁断连、延迟过高），或者你的应用本身深度依赖Azure生态（比如需要和Azure Functions、Blob Storage等无缝集成），再考虑迁移到Azure App Service或Azure Container Apps这类提供固定出站IP的平台。但迁移需要投入时间和成本，所以优先尝试代理方案更划算。

内容的提问来源于stack exchange，提问作者Dante Lacuadra