Node.js · Middle · Frage 41 von 75
Warum müssen SQL-Abfragen Parameter statt String-Verkettung nutzen?
// Bad
db.query("SELECT * FROM users WHERE email = '" + email + "'");
// Good
db.query("SELECT * FROM users WHERE email = $1", [email]);- 1Verkettung funktioniert mit PostgreSQL überhaupt nicht
- 2Parameter lassen Abfragen Ergebnisse in stabiler Reihenfolge liefern
- 3Parameter gehen getrennt, Eingaben können die Abfrage also nicht ändern
Antwort zeigen
Richtige Antwort: Parameter gehen getrennt, Eingaben können die Abfrage also nicht ändern
Erklärung
ORMs und Query Builder parametrisieren für dich, aber aus Strings gebaute rohe Abfragen bleiben verwundbar.