主页 / 问题 / 1021035
Accepted
Honey Cake
Asked:2020-09-06 23:47:10 +0000 UTC2020-09-06 23:47:10 +0000 UTC

个人数据输出的错误

  • 772

在节点 js 中创建了一个 Web 应用程序。

  • 应用的本质：通过Steam认证和从mysql数据库中提取个人信息。
  • 漏洞描述：当第一个人登录账号时，会显示他的个人资料，但是如果其他人登录他的账号，那么每个人都会看到最后登录他的账号的人的信息。从解决方案的猜测来看，只为每个用户创建一个唯一的 id。
    但从安全的角度来看，这是一个问题。是的，对数据库的请求不仅是 SELECT，而且是 UPDATE。

实际上代码本身：代码

我很乐意提供帮助，因为我在 node js 方面不是很强。但我找不到更好的平台。

更新：这可能是个问题吗？

app.use(session({
   secret: 'your secret',
   name: 'name of session id',
   resave: true,
   saveUninitialized: true
}));

Upd2：问题很可能出在全局变量playerData = [] 中，从该变量输出到 ejs 文件。如果有人可以帮助得出结论 - 我会很高兴。

javascript

2 个回答

    1. 很可能问题出在这个全局变量中
    steamID = profile.id;
checkPlayerExist(steamID);
    1. 您的代码中到处都有潜在的 SQL 注入。
    'SELECT name FROM armadb.players WHERE playerid = """' + playerId + '"""'
    • 2
  2. Best Answer

    实际上，问题不在于全局变量steamID，而在于全局输出变量playerData。问题是这样解决的：

     res.render('account', {
                user: req.user,
                playerCharName: playerData.charName,
                playercharNickname: playerData.charNickname,
                playercharSurname: playerData.charSurname,
                playerGold: playerData.gold
            });
    • 1

相关问题