Исходное сообщение
"Google представил Lovefield, SQL-подобную БД для JavaScript" Отправлено Ordu, 18-Ноя-14 13:53
> забыли о том что теперь можно написать: > eval("db.select.from("+valTable+").where("+valField+".eq("+valID+"))")... Это вы к: >обойтись без стадии парсинга и обеспечить защиту от атак по подстановке SQL-запросов. ? Ну дык чтобы eval сработал надо внедрить код, а там уже всё бесполезно. Речь идёт про другие атаки, про т.н. SQL-inj, когда в valTable оказывается совершенно иной sql запрос. Когда составление sql-запроса -- это не тупо конкатенация строк, а так как в этом фреймворке сделано, фреймворк может экранировать всё, причём прозрачно. Правда тут есть другой косяк: он экранировать будет всё, даже то что передано в виде literal'ов, потому что в рантайме не сможет отследить, что литерально, а что из переменной берётся. Но жабаскрипту на это пенальти к производительности я полагаю насрать: одним пенальти больше, одним меньше -- всё равно тормоз.