Node.js MySQL多语句查询转义要求、注入风险及多表查询咨询

你当前贴出的代码SQL为完全硬编码的固定语句，没有拼接任何外部传入的动态参数，暂时不存在SQL注入风险。但只要你在数据库连接配置中开启了multipleStatements: true多语句支持，后续代码迭代中一旦出现字符串拼接动态参数的逻辑，就会直接暴露SQL注入攻击面，这也是官方文档风险提示的核心原因。

关于「正确转义」的说明与风险示例 #

SQL注入的核心原理是：攻击者将恶意SQL片段通过输入参数传入，若代码直接将参数拼接到SQL字符串中，数据库会将这些恶意片段识别为正常SQL指令执行，而非普通参数值处理。
正确转义指的是对动态传入的参数值做特殊字符处理（比如转义单引号、分号、注释符等SQL语法关键字），让参数内容只会被识别为纯值，不会改变原有SQL的语法结构。

多语句模式之所以风险更高，是因为它允许分号分隔的多条SQL顺序执行，攻击者可以通过注入分号直接追加删表、拖库等恶意指令。举个典型的危险场景：

// 严禁使用的写法：直接拼接用户传入参数
const reqDimType = req.query.dimType; // 攻击者传入恶意值："1'; DELETE FROM dim_val1; --"
const badSql = `SELECT * FROM dim_val1 WHERE type = '${reqDimType}'; SELECT * FROM dim_val2; SELECT * FROM dim_val3;`;
connection.query(badSql, (err, results) => {
  // 代码执行到这里时，dim_val1表已经被恶意删除
});

如果未开启多语句模式，上述拼接的恶意SQL会直接报语法错误，不会执行后续的删表指令；开启多语句模式后，恶意语句会被正常执行，危害被直接放大。
mysql npm包本身提供了connection.escape()转义方法、?参数占位符自动转义能力，但绝大多数多语句注入漏洞都来自开发者图省事手动拼接SQL、遗漏转义步骤。

更合理的多表查询实现方案 #

针对你当前查询固定维度表作为下拉数据源的场景，完全没必要开启多语句模式，推荐按优先级选择以下方案：

• 优先用单条SQL合并查询
  如果三个维度表存储的都是id、name这类结构相似的字典项，可以用UNION ALL合并为单条查询，从根源上规避多语句风险，还能减少数据库交互次数：

  const dimSql = `
    SELECT 'dim1' as dim_key, id, label FROM dim_val1
    UNION ALL
    SELECT 'dim2' as dim_key, id, label FROM dim_val2
    UNION ALL
    SELECT 'dim3' as dim_key, id, label FROM dim_val3
  `;
  connection.query(dimSql, (err, results) => {
    // 按dim_key分组即可得到三个下拉对应的数据源
  });
  

• 并行发起单语句查询
  如果三个表结构差异大无法合并，直接用Promise.all并行发起三次独立的单语句查询即可，不需要开启多语句配置，性能和多语句查询基本无差异，安全性更高：

  // 将query方法包装为Promise，方便并行调用
  const queryAsync = (sql, params = []) => {
    return new Promise((resolve, reject) => {
      connection.query(sql, params, (err, res) => err ? reject(err) : resolve(res));
    });
  };
  
  const getDimData = async () => {
    const [dim1Data, dim2Data, dim3Data] = await Promise.all([
      queryAsync('SELECT * FROM dim_val1'),
      queryAsync('SELECT * FROM dim_val2'),
      queryAsync('SELECT * FROM dim_val3')
    ]);
    return {dim1Data, dim2Data, dim3Data};
  };
  

• 若必须使用多语句模式，严格使用参数占位符
  特殊场景下必须开启多语句时，所有动态参数绝对不能手动拼接，必须通过?占位符传入第二个参数数组，由驱动自动完成转义：

  // 安全的多语句写法：参数通过数组传入，自动转义
  const currentUserId = req.user.id;
  const safeMultiSql = 'SELECT * FROM dim_val1 WHERE create_by = ?; SELECT * FROM dim_val2 WHERE status = ?; SELECT * FROM dim_val3';
  connection.query(safeMultiSql, [currentUserId, 1], (err, results) => {
    // 动态参数会被自动转义，无注入风险
  });
  

内容的提问来源于stack exchange，提问作者nvhrw