前端能否跳过REST API直接连接MySQL数据库完成数据操作？

问题1解答 #

完全不能跳过Express这一层，核心原因有两个：

• 运行在浏览器端的React代码根本不支持直接发起MySQL数据库连接，MySQL使用的是私有TCP通信协议，前端JS只能发起HTTP/HTTPS/WebSocket这类标准Web请求，没有能力直接和MySQL服务通信。
• 就算你强行想把数据库连接逻辑搬到前端，数据库的IP、账号、密码会明文暴露在前端代码里，任何用户打开网页按F12看源码就能拿到所有凭据，直接可以登录你的数据库任意增删改查，公司的核心数据完全没有任何安全保障。

问题2解答 #

你想到的“REST API是过滤器”这个逻辑是对的，但它的作用远不止这一点：

• 最基础的就是安全隔离：前端永远碰不到数据库的凭据，所有数据库操作都由可信的服务端执行，避免数据库直接暴露在公网。
• 权限校验：你可以在接口层先判断当前请求的用户身份，比如普通用户只能改自己的个人信息，管理员才能操作全量数据，这些逻辑跑在服务端，前端完全没法绕过。
• 参数校验&非法请求拦截：可以提前检查用户提交的内容是否符合要求，比如用户输入的手机号格式不对、必填字段为空，直接在接口层就返回错误，不会把脏数据写到数据库里。
• 避免SQL注入风险：在服务端可以用参数化查询/预编译SQL的方式处理用户提交的参数，不会出现恶意用户提交特殊字符串篡改SQL逻辑的问题。
• 解耦前后端：后续不管你是换数据库类型、改表结构，还是多端适配（除了React网页之外还要做小程序、APP），都只需要调整服务端逻辑或者复用现有接口，前端/其他客户端不需要做大规模改动。

另外补充下你现有代码的可优化点：

• 当前用app.get处理数据插入逻辑不符合REST规范，GET请求理论上应该是只读、幂等的，插入数据建议改用app.post。
• 现在代码里的SQL是写死的，后续接入前端提交的参数时不要直接拼接SQL字符串，要用参数化查询的写法，比如db.query('INSERT INTO person123 (customerid, firstname, lastname) VALUES (?, ?, ?)', [value1, value2, value3])，避免SQL注入风险。

内容的提问来源于stack exchange，提问作者RoniDoni