NoSQL Injection: MarsDB

通过使用来自不可信来源的输入构建动态 NoSQL 语句，攻击者就能够修改语句的含义或者执行任意 NoSQL 命令。

如果用户输入未经适当清理而直接包含在数据库查询中，就会发生 NoSQL 注入错误，这使得攻击者能够操纵查询逻辑并访问未经授权的数据。这种情况可能发生在诸如 $where、$gt、$lt 和 $ne 等运算符上。为了防止此类攻击，请尽可能避免将这些运算符与用户输入一起使用，并始终确保对用户输入进行正确的验证和清理。

示例 1：以下代码可动态地构造并执行 NoSQL 查询，以便搜索与指定名称相匹配的项目。该查询仅会显示条目所有者与当前经过身份验证的用户的名称一致的条目。

    ...
    function getItemsByOwner(username: string) {
      db.items.find({ $where: `this.owner === '${username}'` }).then((orders: any) => {
        console.log(orders);
      }).catch((err: any) => {
        console.error(err);
      });
    }
    ...

如果 `username` 为 `john'，则返回 true；如果为 //`，则查询变为：

    db.items.find({ $where: `this.owner === 'john'; return true; //` })

这将返回项目集合中的所有文档。