本文目录一览：
- 1、Javascript中的几种URL编码方法比较_javascript技巧
- 2、浏览器编码函数escape(),encodeURI(),encodeURIComponent()的区别...
- 3、Node.js中用escape解决sql注入
J***ascript中的几种URL编码方法比较_j***ascript技巧
encodeURI（）是J***ascript中真正用来对URL编码的函数。
建议大家使用encodeURIComponent和decodeURIcomponent这对函数来对字符串进行URL编码和解码。
encodeURIComponent方法在编码单个URIComponent（指请求参数）应当是最常用的，它可以讲参数中的中文、特殊字符进行转义，而不会影响整个URL。
通过以下两种方式都可以编码和解码 用JS对URL进行编码和解码 J***aScript中有三个可以对字符串编码的函数，分别是：escape，encodeURI，encodeURIComponent，相应3个解码函数：unescape，decodeURI，decodeURIComponent。
浏览器编码函数escape(),encodeURI(),encodeURIComponent()的区别...
它对应的解码函数是decodeURI（）。encodeURIComponent（）与encodeURI（）的区别是，它用于对URL的组成部分进行个别编码，而不用于对整个URL进行编码。
escape 方法对所有空格、标点、重音符号以及其他非 ASCII 字符都用 %xx 编码代替，其中 xx 等于表示该字符的十六进制数。例如，空格返回的是 %20 。字符值大于 255 的以 %uxxxx 格式存储。
j***ascript中存在几种对URL字符串进行编码的方法：escape（），encodeURI（），以及encodeURIComponent（）。这几种编码所起的作用各不相同。escape（） 方法： ***用ISO Latin字符集对指定的字符串进行编码。
Node.js中用escape解决sql注入
如果对param使用escape包装下，就能将参数中jsescape的特殊字符进行转义，防止sql的注入。
使用参数化查询jsescape：参数化查询是防止SQL注入的最佳实践，所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。
使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能***用其它方式。***用escape函数过滤非法字符。
开始没啥头绪。后来发现提示jsescape了传参id.于是很简单就能发现是个sql注入。甚至基本上就是sqli-labs的第一关。union注入从users表中的password里找到某个flag.直接提示传参id. 普通布尔盲注。没啥说的。这题花了一些时间。
一句脚本本没有问题（知道不让直接放sql的，也是放注入），但是jsescape你如果让SQL变成由用户输入拼接而成，那就存在SQL注入的风险。
