本文详解如何在 express 应用中安全、可靠地执行 mysql 查询并基于查询结果设置 cookie，重点解决因忽略异步执行顺序导致的崩溃问题，并推荐使用连接池与参数化查询提升稳定性与安全性。
本文详解如何在 express 应用中安全、可靠地执行 mysql 查询并基于查询结果设置 cookie，重点解决因忽略异步执行顺序导致的崩溃问题，并推荐使用连接池与参数化查询提升稳定性与安全性。
在 Node.js 的 Express 应用中，MySQL 查询是典型的异步操作。原始代码中 /test02 路由存在多个关键问题：未等待数据库响应即调用 res.send()、未处理查询失败场景、直接拼接 SQL 参数引发注入风险，以及使用已废弃的 mysql.createConnection() 单连接方式——这些共同导致应用崩溃或不可预测行为。
✅ 正确做法：统一查询 + 异步控制 + 安全防护
首先，应改用 mysql.createPool() 替代单连接，避免连接耗尽与资源泄漏：
const mysql = require('mysql');
const db = mysql.createPool({
connectionLimit: 10,
host: 'localhost',
user: 'root',
password: '',
database: 'data',
multipleStatements: false, // 默认关闭，更安全
charset: 'utf8mb4'
});其次，将 vorname 和 nachname 合并在单条 SELECT 查询中，既减少数据库往返，也天然规避并发竞态：
router.get('/test02', (req, res) => {
const cookieId = req.cookies.id;
// ✅ 使用 ? 占位符防止 SQL 注入
db.query(
'SELECT vorname, nachname FROM uebersicht WHERE id = ?',
[cookieId],
(err, results) => {
if (err) {
console.error('MySQL 查询失败:', err);
return res.status(500).send('服务器内部错误');
}
// ✅ 检查查询结果是否存在
if (results.length === 0) {
return res.status(404).send('未找到匹配的用户');
}
const { vorname, nachname } = results[0];
res.cookie('vorname', vorname, { path: '/', httpOnly: true, sameSite: 'lax' });
res.cookie('nachname', nachname, { path: '/', httpOnly: true, sameSite: 'lax' });
// ✅ 所有异步操作完成后才发送响应
res.send('Hallo');
}
);
});⚠️ 关键注意事项
- 绝不拼接 SQL 字符串：原始代码中 WHERE id ='" + data + "'" 是严重安全隐患，必须改用参数化查询（? 占位符 + 参数数组）。
- 始终校验查询结果：results[0] 可能为 undefined（如 ID 不存在），直接访问 .vorname 会抛出 TypeError。
- Cookie 安全增强建议：添加 httpOnly: true 防止 XSS 窃取，sameSite: 'lax' 缓解 CSRF 攻击。
- 错误必须显式处理：异步回调中的 err 不可忽略，否则未捕获异常将导致进程崩溃。
- 避免 db.end() 在模块顶层调用：连接池应由框架自动管理生命周期；手动关闭会中断后续请求。
? 总结
Node.js 的异步本质要求开发者显式协调执行时序。将响应发送（res.send/res.render）置于所有依赖数据的操作完成之后，是避免“Response already sent”或“Cannot set headers after they are sent”等错误的根本原则。配合连接池、参数化查询与健壮的错误处理，即可构建稳定、安全的数据库交互逻辑。
