如何安全地从 nodejs 调用可变参数函数

Question

使用 postgres 和 node-pg。

CALL schema.function(${sql})

function 是一个接受数组的可变参数函数。它对 SQL 注入开放。注射案件如何解决？

我的存储过程使用自定义类型：

CREATE TYPE isf.event_array AS 
(
    "id"   BIGINT,
    "topic"         CHARACTER VARYING(255),
    "type"    TEXT,
    "setId"   BIGINT,
    "eventId"       CHARACTER (36),
    "eventType"     CHARACTER VARYING(50),
    "metadata"      JSONB,
    "payload"       JSONB
);
END IF;

我理解参数化查询的使用，但是在这种情况下，它需要传递一个数组。

非常感谢

Answer 1

与往常一样，在处理传递动态值时，使用 parameterised query：

await client.query('CALL schema.function($1::json);', [JSON.stringify(arr)]);