我目前正在开发一个nodejs后端脚本，该脚本解析传入的http请求，以便在mysql数据库中进行写操作和读操作。我试图通过使用一种两层保护来防止sql注入。
要写入数据库，用户需要提供有效的json。这就是json的键对于脚本写入db的方式。如果没有，请求将被取消。

{
    "uuid": "1234-5678-abcd-efgh",
    "product_id": 6,
    "product_extras": "color=red",
    "product_count": 2,
    "buyer_name": "X Y",
    "shipping_address": "XY Street 5"
}

检查这个输入的第一层是一个非常基本的黑名单。在这里 USER_INPUT 变量是上面已经通过验证过程的json。

let BLACKLIST = ["DROP ", "DELETE ", "INSERT ", "UPDATE ", "SELECT ", "WHERE ", "ALTER "];
let dont_execute = false;

for(var i = 0; i < BLACKLIST.length; i++) {   
    if(JSON.stringify(USER_INPUT).toUpperCase().includes(BLACKLIST[i].toUpperCase())) {
        console.log("\x1b[31mreceived blacklisted command - aborting");
        dont_execute = true;
        return false;
    }
}

在验证之后，如果 dont_execute 如果仍然为false，则将调用第二层，因此将转义查询并发送，如下所示：

// setting.sqlconnection.table_name is equal to "orders" in this case. Also this variable can't be changed or specified by the user. It's pulled from a settings.json file

sql.sendQuery("INSERT INTO " + setting.sqlconnection.table_name + " (uuid, productid, orderid, productextras, productcount, buyername, shippingaddress) VALUES (" + sqlconnection.escape(uuid) + ", " + sqlconnection.escape(parseddata.product_id) + ", " + null + ", " + sqlconnection.escape(parseddata.product_extras) + ", " + sqlconnection.escape(parseddata.product_count) + ", " + sqlconnection.escape(parseddata.buyer_name) + ", " + sqlconnection.escape(parseddata.shipping_address) + ")");

我尝试过很多不同的注射方法，比如这个：

{
    "uuid": "1234-5678-abcd-efgh",
    "product_id": 6,
    "product_extras": "color=red",
    "product_count": 2,
    "buyer_name": "X Y",
    "shipping_address": "');DROP orders;--"
}

正如我所料，它没有工作，因为首先它是在第一个黑名单层咳嗽。但是在禁用它只是为了测试之后，整个sql查询就像一个字符串一样被解释为撇号被转义( ' 成为 \' )，这正是我想要的。据我所知，将与受sqli感染的json一起发送的查询最终将如下所示：

INSERT INTO orders (guid, productid, orderid, productextras, productcount, buyername, shippingaddress) VALUES ("1234-5678-abcd-efgh", 6, null, "color=red", 2, "X Y", "\');DROP orders--")

但问题是，在向我的老板展示了这个之后，他说它不安全，而且它仍然容易受到sqli的攻击。所以我的问题是，如果他是对的，如果是的话，我可以做些什么来改进它。
其他信息：
我正在使用npm包 mysql 对于数据库连接
我使用xampp和mysql在本地托管数据库
我很抱歉，如果我不能提供更多的信息，但我很肯定，我不允许张贴更多的东西比这个。