2021 年为啥还有公司前端使用 SQL 拼接参数

[Mr0C]

后端表示参数拼接成 SQL 接收，真的服了，就不怕 SQL 注入吗

[jack778]

复制黏贴，能跑就行

[buffzty]

2021 年了为啥还有程序员天天编程写 bug 啊?

[Mr0C]

常见的安全问题都不 care 吗

[jk1030]

2B 的产品有时候 sql 拼接参数是 feature

[PDX]

你去看看事业单位用的办公系统

[statement]

后端校验啊。 前端只有约定好格式就行。和前端有什么关系。 你只要约定好 前端 delete 。后端当 select 用也行啊

[watcher]

sql 作为描述语言，谁规定一定就是用来操作数据库的？用来操作搜索引擎不可以吗？

[panda666]

sql 和前端有毛的关系

[mengdodo]

@panda666 还真有，那个前两年兴起的前端 sql 技术，后端只需要约定接口通往数据层的表模型，前端自己调 sql 读写，我忘记叫什么了。 我一直觉得不靠谱……

[zjsxwc]

我记得 老项目 CS 架构的 都是 直接客户端传 SQL，
服务端搞个 sql parser 就知道这条客户端提交的 sql 是否有权限。

[no1xsyzy]

https://data.stackexchange.com/
https://www.opendota.com/explorer
不怕注入吗？

@mengdodo 这也不是前端，这是 API 。同样一个 HTTP API，另一个后端程序也可以调用。
前端是 UI 到 API 中间的东西（不管它的技术手段是啥）

[KouShuiYu]

https://carto.com/
这个公司为每个用户新建一个数据库

[bthulu]

怕什么注入, 法院重拳出击就行了

[darknoll]

这能怪前端？？你后端干嘛吃的

[yaphets666]

现在有种东西叫 graphql，类似

[opengps]

能这么做的项目显然确实没啥用户量，甚至说是自己给自己用。对于注入这种事，小公司不遇到是不会去防的

[Cbdy]

老板：又不是不能用

[phobal]

@mengdodo 你是想说 graphQL 么，这个可跟直接拼 SQL 不一样哦

[ijrou]

老板：能用为啥还这么讲究？

[mypchas6fans]

告诉各位我曾经呆过的某公司，近两年做的一个模块，名曰 xxx risk analysis，
卖点是分析业务相关的指标和风险点，具体怎么做的呢？
业务人员默认准备了一堆 SQL，可以根据需要在页面上微调，然后发到后端执行，结果再存到特定表里，前端做成报表，给客户大佬看……

实际上就是个 xxx sql analysis……