Альтернативный способ создания массива из объектов POST в NodeJS

Question

Я пытаюсь реорганизовать это, в частности, запись массива

app.post('/insert', function(req,res){ 

    var record = { 
     operator: req.body.operator, 
     email: req.body.email, 
     telephone: req.body.telephone, 
     notes: req.body.notes 
     }; 

    dbconn.query('INSERT INTO operators SET ? ', record, function(err,result){ 
     if(err) { 
     console.log(err); 
     } 
     else { 
     console.log('Last record insert :' + req.body.operator); 
     res.redirect('/myrecords'); 
     } 
    }); 
}); 

к следующему, который работает просто отлично

app.post('/insert', function(req,res){ 

    var record = req.body; // <- Refactored 

    dbconn.query('INSERT INTO operators SET ? ', record, function(err,result){ 
    if(err) { 
     console.log(err); 
    } 
    else { 
     console.log('Last record insert :' + req.body.operator); 
     res.redirect('/myrecords'); 
    } 
    }); 
}); 

Хотя что размещенные объекты из html-формы получают вставку в массив записей и сохраняются в DB правильно в паре, я все еще не убежден, что это ортодоксальный способ.

Я что-то упустил или это просто неправильное чувство? Я попытался использовать циклы для получения всех req.body.data, но я отказался от него.

Любая вероятность того, что вышеуказанный способ может привести к ошибкам в любых будущих сценариях?

Answer 1

Одна из проблем заключается в том, что у вас нет белого списка разрешенных столбцов для таблицы операторов. В первом примере код гарантирует, что в новую строку будут вставлены только столбцы оператора, электронной почты, телефона и примечаний. Во втором примере любое поле, которое пользователь добавляет к телу своего запроса POST, будет иметь столбец с тем же именем, который установлен в новой строке для вставки. Это может быть хорошо, но если у вас есть какие-либо столбцы, которые вы не хотите, чтобы ваши пользователи могли устанавливать в таблице операторов, то второй способ небезопасен.

Answer 2

Второй способ может быть связан с безопасностью, поскольку в вашу базу данных можно вставить нежелательные значения, захватив объект post post.

Например, если кто-то добавить operator_id в посте объект и у вас есть поле operator_id в operator таблицы, то ваше значение operator_id будет вставлен с нежелательным значением.