NoSQL 注入攻击

当然，下面是一些常见的 MongoDB 中的 NoSQL 注入攻击示例，以及相应的防范方法。

1. 基本的 NoSQL 注入攻击

示例

假设有以下代码，用于查找特定用户：

let username = req.body.username; // 假设来自用户输入
db.collection('users').find({
   
    username: username });

如果攻击者输入 username 为 {"$ne": null}，这样就会找到所有用户，因为 $ne 操作符代表“不是”条件。

防范方法

• 输入验证：限制 username 只能包含字母和数字，通过正则表达式进行验证。
• 使用参数化查询：改用参数化的方式来构造数据库查询。

let username = req.body.username;
if (