Electron.js应用安全连接SQL数据库的最佳实践

// renderer.js
const loginForm = document.getElementById('login-form');
const usernameInput = document.getElementById('username');
const passwordInput = document.getElementById('password');

loginForm.addEventListener('submit', async (event) => {
    event.preventDefault();

    const username = usernameInput.value;
    const password = passwordInput.value;

    // 使用 contextBridge 暴露的 API 或直接 ipcRenderer.invoke
    // 这里假设通过 contextBridge 暴露了一个名为 'api' 的接口
    try {
        const isSuccess = await window.api.invoke('login-request', { username, password });
        if (isSuccess) {
            console.log('Login successful');
            // ... 显示成功消息
        } else {
            console.log('Login failed');
            // ... 显示失败消息
        }
    } catch (error) {
        console.error('Login error:', error);
        // ... 显示错误消息
    }
});

// preload.js
const { contextBridge, ipcRenderer } = require('electron');

contextBridge.exposeInMainWorld('api', {
    invoke: (channel, data) => ipcRenderer.invoke(channel, data),
    on: (channel, func) => ipcRenderer.on(channel, (event, ...args) => func(...args)),
    // ... 其他需要的 IPC 方法
});

// main.js
const { app, BrowserWindow, ipcMain } = require('electron');
const path = require('path');
const axios = require('axios'); // 推荐使用 axios 或 node-fetch

let mainWindow;
const API_BASE_URL = 'http://localhost:3000/api'; // 后端API服务器地址

function createWindow() {
    mainWindow = new BrowserWindow({
        width: 800,
        height: 600,
        webPreferences: {
            preload: path.join(__dirname, 'preload.js'),
            contextIsolation: true, // 推荐启用 contextIsolation
            nodeIntegration: false  // 推荐禁用 nodeIntegration
        },
    });

    mainWindow.loadFile(path.join(__dirname, 'index.html'));

    mainWindow.on('closed', () => {
        mainWindow = null;
    });
}

app.on('ready', createWindow);

app.on('window-all-closed', () => {
    if (process.platform !== 'darwin') {
        app.quit();
    }
});

// 处理渲染进程发来的登录请求
ipcMain.handle('login-request', async (event, loginData) => {
    const { username, password } = loginData;
    console.log(`Received login request for: ${username}`);

    try {
        // 向后端API服务器发送登录请求
        const response = await axios.post(`${API_BASE_URL}/login`, {
            username,
            password
        });

        // 假设API服务器返回 { success: true/false, message: '...' }
        if (response.data && response.data.success) {
            console.log('API login successful');
            return true; // 返回给渲染进程登录成功
        } else {
            console.log('API login failed:', response.data.message);
            return false; // 返回登录失败及原因
        }
    } catch (error) {
        console.error('Error calling API server:', error.message);
        // 根据错误类型返回更详细的信息
        if (error.response) {
            // 服务器响应了状态码，但不在 2xx 范围内
            console.error('API Error Response:', error.response.data);
        }
        return false; // 返回登录失败
    }
});

// server.js (后端API服务器示例)
const express = require('express');
const bodyParser = require('body-parser');
const sql = require('mssql'); // 或其他数据库驱动，如 'mysql', 'pg'
require('dotenv').config(); // 用于加载 .env 文件中的环境变量

const app = express();
const port = process.env.PORT || 3000;

// 配置数据库连接池
const dbConfig = {
    user: process.env.DB_USER,
    password: process.env.DB_PASSWORD,
    server: process.env.DB_SERVER,
    database: process.env.DB_DATABASE,
    options: {
        encrypt: process.env.DB_ENCRYPT === 'true', // For Azure SQL
        trustServerCertificate: process.env.DB_TRUST_SERVER_CERTIFICATE === 'true' // Change to true for local dev / self-signed certs
    }
};

// 连接到数据库
sql.connect(dbConfig).then(pool => {
    console.log('Connected to SQL Server');
    return pool;
}).catch(err => {
    console.error('Database Connection Failed! Error: ', err);
});

app.use(bodyParser.json());

// 登录API路由
app.post('/api/login', async (req, res) => {
    const { username, password } = req.body;

    if (!username || !password) {
        return res.status(400).json({ success: false, message: 'Username and password are required.' });
    }

    try {
        const pool = await sql.connect(dbConfig);
        const request = pool.request();

        // **使用参数化查询防止SQL注入**
        request.input('username', sql.NVarChar, username);
        // 在实际应用中，密码应进行哈希处理，并与数据库中存储的哈希值进行比较
        // 此处为简化示例，直接比较明文密码 (不推荐用于生产环境)
        request.input('password', sql.NVarChar, password);

        const result = await request.query`SELECT * FROM Users WHERE Username = @username AND Password = @password`;

        if (result.recordset.length > 0) {
            // 登录成功，可以生成JWT或设置会话
            return res.json({ success: true, message: 'Login successful' });
        } else {
            return res.status(401).json({ success: false, message: 'Invalid credentials' });
        }
    } catch (err) {
        console.error('Database query error:', err);
        return res.status(500).json({ success: false, message: 'Server error during login' });
    }
});

app.listen(port, () => {
    console.log(`API Server listening at http://localhost:${port}`);
});