flawopen.com/SQL-Injection in JavaScript/Knex.js

Ist Knex.js vor SQL-Injection geschützt?

SICHER — Bindings und Allowlist
const query = knex.raw(
  `SELECT * FROM users WHERE id = ${userId}`
);

// Eingabe wird an SQL angehängt.
const allowedSortColumns = new Set(["created_at", "name"]);

const rows = await knex("users")
  .where("id", userId)
  .orderBy(
    allowedSortColumns.has(requestedSort)
      ? requestedSort
      : "created_at",
    requestedDirection === "asc" ? "asc" : "desc"
  );

// Wert und SQL-Syntax getrennt halten.
knex.raw("SELECT * FROM users WHERE id = ?", [userId]);

Wie Knex-Bindings Werte schützen

Methoden wie .where(), .insert() und .select() trennen Werte vom erzeugten SQL. Übergib Raw-Werte als Bindings: knex.raw("... = ?", [value]). ? steht für Werte, ?? für Bezeichner. Interpoliere Eingaben nicht in SQL-Strings.

Dynamische Bezeichner brauchen eine Allowlist

Ein Binding autorisiert keine vom Nutzer gewählten Spalten, Tabellen, Sortierungen, Operatoren oder SQL-Fragmente. ?? quotet einen Bezeichner, entscheidet aber nicht über die Berechtigung. Ordne die Auswahl vor .orderBy() einer festen Allowlist zu; SQL-Schlüsselwörter und Operatoren bleiben im Code fest.

Raw-Abfragen überprüfen

Suche alle knex.raw()-Aufrufe und prüfe SQL-String und Bindings gemeinsam. Datenwerte müssen Bindings verwenden; dynamische Bezeichner müssen aus einer kleinen Allowlist stammen. Raw bedeutet nicht automatisch verwundbar; entscheidend sind SQL-Aufbau und Eingaben.

Häufige Fragen

Quellen

• Knex.js-Dokumentation — Raw und Bindings
• Knex.js-Dokumentation — Query Builder
• flawopen.com — SQL-Injection in JavaScript