He estado escribiendo consultas usando acentos graves
const firstUser = await connection .getRepository(User) .createQueryBuilder("user") .where(`user.id = '${id}'`) .getOne(); pero en las documentaciones typeorm , los ejemplos se escriben con dos puntos.
const firstUser = await connection .getRepository(User) .createQueryBuilder("user") .where("user.id = :id", { id: 1 }) .getOne();Así que me pregunto si hay alguna diferencia entre usar acentos graves y dos puntos.
Cualquier idea sería muy apreciada.
Gracias.
Siento gritar, pero esto es importante.
Cuando haces esto:
.where(`user.id = '${id}'`) Luego, la cadena se crea primero y luego se pasa a la función where() . Lo que significa que si id es 123 , entonces es lo mismo que:
.where(`user.id = '123'`) Lo cual parece estar bien. Pero, ¿y si id es 123' OR 1=1--'
Ahora obtienes esto:
.where(`user.id = '123' OR 1=1--'`) // Now returns ALL users!Esto se llama inyección SQL , es un gran problema de seguridad. Es muy muy malo. Los atacantes podrían alterar sus consultas y obtener acceso a datos a los que no deberían tener acceso, o cambiar registros para tener acceso de administrador, o todo tipo de cosas realmente malas. Está bastante cerca de dar a todos acceso completo de lectura/escritura a su base de datos.
Lo que nos lleva a esto:
.where("user.id = :id", { id: 1 })Para combatir esto, le pide a TypeORM que ingrese valores por usted, esto evita correctamente cualquier valor que un atacante pueda agregar, por lo que la entrada no tiene instrucciones ejecutables.
Si id es algo nefasto, entonces se convertirá en algo como:
.where(`user.id = '123\' OR 1=1--'`) // note the backslash // (actual query may vary based on different databases)Aquí TypeORM asegura que el id se procese como un valor escapando de la comilla cerrada que insertó el atacante. Esto hace que sea seguro obtener los valores proporcionados por el usuario y usarlos en sus consultas.
En conclusión, NUNCA coloque valores proporcionados por el usuario interpolados directamente en las consultas (realmente deberían ser todos los valores, solo para estar seguro), y siempre use parámetros de consulta para asegurarse de que los valores se escalen correctamente.