能否在前端调用mysql.createConnection并结合Express.js搭建REST API？

核心问题1：前端直接调用mysql.createConnection连接数据库的可行性 #

完全不可行，原因如下：

• MySQL官方/社区的Node.js连接驱动是服务端运行时专用，不支持浏览器环境，浏览器本身没有直接发起TCP连接访问MySQL端口的能力
• 数据库默认3306端口不会对公网开放，就算强行开放端口，浏览器同源策略也会拦截非HTTP/HTTPS协议的跨端口请求，即使你想让前后端同部署也解决不了协议不兼容的问题

核心问题2：该方案的安全风险与设计合理性问题 #

该方案完全违背后端服务的设计初衷，存在致命安全风险：

• 前端部署后所有代码对用户可查，相当于直接暴露数据库地址、端口等敏感信息
• 拿到合法MySQL账号密码的用户可以完全绕过你的后端API，直接通过本地MySQL客户端连接数据库进行任意操作，没有任何权限管控，数据丢失、篡改的风险不可控

符合"不存储密码"要求的合理实现方案 #

你主管要求的不存储任何密码的需求可以通过以下流程实现，同时解决登出断开连接的问题：

• 登录环节：用户在前端输入MySQL账号密码，通过HTTPS加密传输给后端登录接口，后端仅用接收的账号密码临时创建一次MySQL连接做有效性校验，校验通过后直接签发JWT/Session登录凭证返回给前端，全程不存储用户的账号密码到任何持久化存储，临时连接校验完成后立刻销毁
• 业务请求环节：后续用户调用后端REST API时仅需携带登录凭证，后端使用统一的、只分配了最小业务操作权限的数据库账号通过连接池操作MySQL，操作前可根据当前登录用户的身份做权限二次校验
• 登出环节：仅需前端销毁本地存储的登录凭证即可，后端连接池为全局复用资源，和单个用户的登录状态完全解耦，不会出现用户登出就断开数据库连接的问题

调整后的预期实现流程 #

1. 用户在前端输入MySQL用户名、密码，加密提交到后端登录接口
2. 后端校验账号密码有效性后签发登录凭证，用户登录成功
3. 用户填写产品表单提交时，携带登录凭证请求后端REST API，后端完成校验后将数据写入MySQL数据库

内容的提问来源于stack exchange，提问作者RoniDoni