MongoDB中的JavaScript NoSQL注入预防

MongoDB中的JavaScript NoSQL注入预防

注意 我的答案不正确。请参考其他答案。

-

客户端程序在MongoDB中组装查询时，将构建BSON对象而不是字符串。因此，传统的SQL注入攻击不是问题。

有关详细信息，请遵循文档

更新

避免使用

eval

可以执行任意JS的表达式。如果您从用户那里获取输入内容并且

eval

像表达式一样运行而不清除输入内容，则可能会搞砸。正如JoBu1324所指出的那样

where

，，

mapReduce

和等 *** 作

group

允许直接执行JS表达式。