【Node.js实战】一文带你开发博客项目之安全（sql注入、xss攻击、md5加密算法）

module.exports = {
    exec,
    escape: mysql.escape
}

// 改变
const { exec, escape } = require('../db/mysql')
// 登录（通过用户名和密码）
const login = (username, password) => {
    // 改变
    username = escape(username)
    password = escape(password)
    // 改变
    const sql = `
    select username, realname from users where username=${username} and password=${password}
    `
    console.log('sql is', sql)
    return exec(sql).then(rows => {
        return rows[0] || {}
    })
}
// 导出共享
module.exports = {
    login
}

npm i xxs

const xss = require('xss')
...
const newBlog = (blogData = {}) => {
    // blogData 是一个博客对象，包含 title content author 属性
    const title = xss(blogData.title)
    ...
}

// 加密库
const crypto = require('crypto')
// 密匙（一把钥匙，密码和钥匙一块加密）
const SECRET_KEY = 'Zahuopu_2023#'
// md5 加密（一种加密方式）
function md5(content) {
    // 创建 md5 加密
    let md5 = crypto.createHash('md5')
    // 以 16进制的形式返回输入内容的加密结果
    return md5.update(content).digest('hex')
}
// 加密函数
function genPassword(password) {
    // 字符串要包含 password 和 SECRET_KEY
    const str = `password=${password}&key=${SECRET_KEY}`
    return md5(str)
}
const result = genPassword('123')
console.log(result)

...
module.exports = {
    genPassword
}

const { exec, escape } = require('../db/mysql')
const { genPassword } = require('../utils/cryp')
// 登录（通过用户名和密码）
const login = (username, password) => {
    username = escape(username)
    // 生成加密密码
    password = genPassword(password)
    // 更改了一下此代码的位置，sql 中立马要用到预防 sql 注入
    password = escape(password)
    const sql = `
    select username, realname from users where username=${username} and password=${password}
    `
    console.log('sql is', sql)
    return exec(sql).then(rows => {
        return rows[0] || {}
    })
}
// 导出共享
module.exports = {
    login
}