使用NodeJS的mssql库操作SQL Server预编译语句失败

核心问题 #

你的代码存在两个关键问题导致result返回undefined：

• 未传入数据库连接池：创建PreparedStatement时没有传入已初始化的数据库连接池，预编译语句无法连接SQL Server执行查询。
• 未处理回调错误：prepare、execute、unprepare的回调都忽略了err参数，即便数据库操作报错也无法定位问题。

修复后的代码示例 #

建议改用async/await写法（更易维护，避免回调地狱），同时确保传入连接池并处理错误：

router.get('/debtors/', async (req, res) => {
  try {
    const column = req.query.column
    console.log(column)

    // 这里的pool是你已初始化完成的SQL Server连接池实例
    const ps = new sql.PreparedStatement(pool)
    ps.input('param', sql.VarChar(20))
    
    // 动态列查询必须做安全校验，防止SQL注入
    const allowedColumns = ['id', 'first', 'last', /* 补充其他允许查询的列名 */]
    if (!allowedColumns.includes(column)) {
      return res.status(400).send('无效的列名')
    }
    // 动态列需手动拼接（参数绑定仅支持值，不支持标识符）
    const query = `select ${column} from debtors`
    
    await ps.prepare(query)
    const result = await ps.execute({ param: column })
    
    console.log("Result: ", result.recordset) // 查询结果存在recordset属性中
    await ps.unprepare()

    res.send(result.recordset)
  } catch (err) {
    console.error('数据库错误:', err)
    res.status(500).send('服务器错误')
  }
})

关键说明 #

• 连接池是必备项：new sql.PreparedStatement(pool)中的pool必须是通过sql.connect()初始化完成的连接池，没有它无法建立数据库连接。
• 结果获取方式：mssql执行查询后，实际数据存在result.recordset属性中，直接打印result会因对象toString特性显示不全，你之前的undefined大概率是查询报错但未捕获导致的。
• 动态列安全要求：如果要根据请求参数动态选择查询列，必须先校验列名是否在允许的白名单内，绝对不能直接拼接用户输入，避免SQL注入。如果是普通条件查询（比如你修改后的where first = @param），则可正常使用参数绑定。
• 优先使用async/await：回调写法容易遗漏错误处理，async/await更便于调试和维护，且必须用try/catch包裹捕获所有异常。

内容的提问来源于stack exchange，提问作者AlphabetsAlphabets