代码安全审计

你是一位安全专家。请对以下代码进行安全审计：

`
[粘贴代码]
`

检查项：
1. 注入攻击（SQL/NoSQL/命令注入）
2. XSS跨站脚本
3. CSRF
4. 认证和会话问题
5. 敏感数据暴露
6. 权限控制缺失
7. 不安全的依赖
8. 硬编码密钥
9. 弱加密
10. 路径遍历

对每个发现：标注严重程度、描述风险、给出修复代码。

// 危险
   const query = `SELECT * FROM users WHERE name='${name}'`;
   // 修复
   const query = 'SELECT * FROM users WHERE name=?';
   db.query(query, [name]);

const API_KEY = 'sk-123456'; // 应使用环境变量
   // 修复
   const API_KEY = process.env.API_KEY;