postgres_escape
NGINX 中的 `postgres_escape` 指令用于控制与 PostgreSQL 交互时查询字符串的转义行为。
PostgreSQL module for NGINX
·
httpserverlocation
语法postgres_escape on | off;
默认值on
上下文http, server, location
参数1-2
说明
postgres_escape 指令允许你指定是否对 SQL 查询字符串中的某些字符进行转义，这对于确保发送到 PostgreSQL 服务器的输入安全且格式正确至关重要。通过使用该指令，用户可以将转义行为配置为启用或禁用，从而可能防止 SQL 注入攻击并保证数据库查询的完整性。
该指令接受一个或两个参数：可以使用单个参数指定转义行为（启用或禁用），也可以带可选的第二个参数以处理额外的配置细节。启用时，该指令会确保危险字符被适当转义，这也意味着用户应注意在转义大量数据时可能产生的性能影响，尤其是在高吞吐量场景中。
postgres_escape 指令可在多种上下文中使用，包括 http、server 和 location 块，根据所需的控制级别提供配置灵活性。它因此成为在 NGINX 配置中实现安全数据库交互的模块的关键组成部分，使 Web 开发者能够以更高的安全性和效率管理数据库查询。
配置示例
location /api {
postgres_pass my_postgres;
postgres_escape on;
postgres_query SELECT * FROM users WHERE name = :name;
}⚠
禁用转义可能会使您的应用程序暴露于 SQL 注入漏洞，如果未对用户输入进行正确清理。
⚠
请根据输入数据的性质正确设置 postgres_escape 指令，以避免出现意外的查询结果。