[Dúvida] Esses Query Builders também evita SQLInjection?

Olá Carlos, tudo bem com você?

Sim, tanto ORMs quanto Query Builders, como o Sequelize e o Knex são projetados para ajudar a prevenir ataques de SQL Injection. Eles fazem isso por meio do uso de parâmetros nomeados ou posicionais nas consultas, que são então preenchidos de forma segura pelos respectivos mecanismos.

Por exemplo, usando o Sequelize, uma consulta segura seria algo assim:

const { Op } = require("sequelize");
const { User } = require("./models");

User.findAll({
  where: {
    nome: {
      [Op.like]: "Carlos%"
    }
  }
});

Neste exemplo, o Sequelize preenche o parâmetro de forma segura, evitando a possibilidade de um ataque de SQL Injection. No entanto, é importante ressaltar que, embora essas ferramentas ajudem a prevenir ataques de SQL Injection, elas não são à prova de falhas. Ainda é necessário seguir as melhores práticas de segurança, como a validação de entrada de dados e a utilização de consultas parametrizadas ou prepared statements.

Conte com o apoio do Fórum na sua jornada. Espero ter ajudado. Fico à disposição. Abraços e bons estudos!