Использование MySQL с Node.js и JavaScript-клиентом mysql

 con.query('CALL sp_get_author_details(1)', (err, rows) => { if(err) throw err; console.log('Data received from Db:\n'); console.log(rows[0]); }); 

Это дает вам следующее:

 [ RowDataPacket { name: 'Michaela Lehr', city: 'Berlin' } ] 

В большинстве случаев, когда мы пытаемся вставить запись в базу данных, нам нужно, чтобы последний вставленный идентификатор был возвращен в качестве параметра out. Рассмотрим следующую хранимую процедуру вставки с параметром out:

 DELIMITER $$ CREATE PROCEDURE `sp_insert_author`( out author_id int, in author_name varchar(25), in author_city varchar(25) ) BEGIN insert into authors(name, city) values(author_name, author_city); set author_id = LAST_INSERT_ID(); END $$ 

Чтобы сделать вызов процедуры с параметром out, сначала нам нужно включить несколько вызовов при создании соединения. Итак, измените соединение, установив для выполнения нескольких операторов значение true :

 const con = mysql.createConnection({ host: 'localhost', user: 'user', password: 'password', database: 'sitepoint', multipleStatements: true }); 

Затем, при вызове процедуры, установите параметр out и передайте его:

 con.query( "SET @author_id = 0; CALL sp_insert_author(@author_id, 'Craig Buckler', 'Exmouth'); SELECT @author_id", (err, rows) => { if (err) throw err; console.log('Data received from Db:\n'); console.log(rows); } ); 

Как видно из приведенного выше кода, мы установили параметр @author_id out и передали его во время вызова хранимой процедуры. Как только вызов сделан, нам нужно выбрать параметр out для доступа к возвращенному идентификатору.

Запустите app.js При успешном выполнении вы должны увидеть выбранный параметр наряду с другой информацией. rows[2] должны дать вам доступ к выбранному параметру:

  [ RowDataPacket { '@author_id': 6 } ] ] 

Примечание. Чтобы удалить хранимую процедуру, необходимо выполнить команду DROP PROCEDURE <procedure-name>; против базы данных, для которой вы ее создали.

Экранирование ввода пользователя

Чтобы избежать атак SQL-инъекций, вы всегда должны избегать любых данных, которые вы получаете от пользователей, прежде чем использовать их в запросе SQL. Давайте продемонстрируем, почему:

 const userSubmittedVariable = '1'; con.query( `SELECT * FROM authors WHERE id = ${userSubmittedVariable}`, (err, rows) => { if(err) throw err; console.log(rows); } ); 

Это кажется достаточно безопасным и даже возвращает правильный результат:

  { id: 1, name: 'Michaela Lehr', city: 'Berlin' } 

Однако попробуйте изменить userSubmittedVariable следующим образом:

 const userSubmittedVariable = '1 OR 1=1'; 

У нас внезапно появляется доступ ко всему набору данных. Теперь измените это на это:

 const userSubmittedVariable = '1; DROP TABLE authors'; 

Теперь у нас проблемы!

Хорошей новостью является то, что помощь под рукой. Вам просто нужно использовать метод mysql.escape :

 con.query( `SELECT * FROM authors WHERE id = ${mysql.escape(userSubmittedVariable)}`, (err, rows) => { if(err) throw err; console.log(rows); } ); 

Вы также можете использовать заполнитель вопросительного знака, как мы это делали в примерах в начале статьи:

 con.query( 'SELECT * FROM authors WHERE id = ?', [userSubmittedVariable], (err, rows) => { if(err) throw err; console.log(rows); } ); 

Почему бы просто не использовать ORM?

Прежде чем мы перейдем к плюсам и минусам этого подхода, давайте на секунду рассмотрим, что такое ORM. Следующее взято из ответа о переполнении стека :

Объектно-реляционное отображение (ORM) — это метод, который позволяет запрашивать и манипулировать данными из базы данных с использованием объектно-ориентированной парадигмы. Говоря об ORM, большинство людей ссылаются на библиотеку, которая реализует технику объектно-реляционного отображения, отсюда и фраза «ORM».

Таким образом, это означает, что вы пишете логику своей базы данных на языке предметной области ORM, в отличие от ванильного подхода, который мы использовали до сих пор. Чтобы дать вам представление о том, как это может выглядеть, вот пример использования Sequelize , который запрашивает базу данных для всех авторов и записывает их в консоль:

 const sequelize = new Sequelize('sitepoint', 'user', 'password', { host: 'localhost', dialect: 'mysql' }); const Author = sequelize.define('author', { name: { type: Sequelize.STRING, }, city: { type: Sequelize.STRING }, }, { timestamps: false }); Author.findAll().then(authors => { console.log("All authors:", JSON.stringify(authors, null, 4)); }); 

То, имеет ли смысл использовать ORM для вас, будет во многом зависеть от того, над чем вы работаете и с кем. С одной стороны, ORMS, как правило, делают разработчиков более продуктивными, частично абстрагируя большую часть SQL, так что не всем в команде нужно знать, как писать суперэффективные запросы к базе данных. Также легко перейти на другое программное обеспечение базы данных, потому что вы развиваетесь до абстракции.

С другой стороны, однако, можно написать какой-то действительно грязный и неэффективный SQL в результате непонимания того, как ORM делает то, что делает. Производительность также является проблемой, поскольку гораздо проще оптимизировать запросы, которые не должны проходить через ORM.

Какой бы путь вы ни выбрали, зависит от вас, но если это решение, которое вы принимаете, проверьте этот поток переполнения стека: Почему вы должны использовать ORM? , Также проверьте этот пост на SitePoint: 3 JavaScript ORM, которые вы, возможно, не знаете .

Вывод

В этом руководстве мы установили клиент mysql для Node.js и настроили его для подключения к базе данных. Мы также увидели, как выполнять операции CRUD, работать с подготовленными операторами и избегать ввода данных пользователем, чтобы смягчить атаки с использованием SQL-инъекций. И тем не менее, мы только поцарапали поверхность того, что предлагает клиент MySQL. Для более подробной информации рекомендую ознакомиться с официальной документацией .

И имейте в виду, что модуль mysql — не единственное шоу в городе. Есть и другие варианты, такие как популярный узел-mysql2 .