flawopen.com/JavaScript의 SQL Injection/Knex.js

Knex.js는 SQL Injection에 안전한가요?

안전 — bindings와 허용 목록
const query = knex.raw(
  `SELECT * FROM users WHERE id = ${userId}`
);

// 입력을 SQL 소스에 연결합니다.
const allowedSortColumns = new Set(["created_at", "name"]);

const rows = await knex("users")
  .where("id", userId)
  .orderBy(
    allowedSortColumns.has(requestedSort)
      ? requestedSort
      : "created_at",
    requestedDirection === "asc" ? "asc" : "desc"
  );

// 값을 SQL 구문과 분리합니다.
knex.raw("SELECT * FROM users WHERE id = ?", [userId]);

Knex bindings가 값을 보호하는 방식

.where(), .insert(), .select() 같은 메서드는 값을 생성 SQL과 분리합니다. raw에는 값을 bindings로 전달하세요: knex.raw("... = ?", [value]). ?는 값, ??는 식별자입니다. 입력을 SQL 템플릿 문자열에 보간하지 마세요.

동적 식별자에는 허용 목록이 필요합니다

binding은 사용자가 고른 컬럼, 테이블, 정렬, 연산자 또는 SQL 조각을 허용하지 않습니다. ??는 식별자를 인용하지만 선택 권한을 판단하지 않습니다. .orderBy()에 전달하기 전에 고정 허용 목록에 매핑하고 SQL 키워드와 연산자는 코드에 고정하세요.

raw 쿼리 감사 방법

모든 knex.raw()를 찾아 SQL 문자열과 bindings를 함께 검토하세요. 값은 bindings로, 동적 식별자는 작은 허용 목록으로 제한해야 합니다. raw 쿼리가 자동으로 취약한 것은 아니며 SQL과 입력을 만드는 방식이 중요합니다.

자주 묻는 질문

참고 자료

• Knex.js 문서 — Raw와 bindings
• Knex.js 문서 — Query builder
• flawopen.com — JavaScript의 SQL Injection