TypeORM中能否混用参数与字符串插值？语法错误排查

核心结论 #

TypeORM的query方法支持同时使用字符串插值和参数化查询，你的问题出在参数数组的传递方式错误，导致SQL语法报错。

错误原因分析 #

你把参数数组[value5]直接拼接在SQL字符串末尾，这会让数据库解析到无效的SQL语法（末尾多余的[value5]），同时问号?的参数没有被正确绑定。query方法的参数数组是作为第二个独立参数传入的，不是拼在SQL语句里。

正确写法 #

修正后的代码应该把参数数组作为query的第二个参数传递，SQL中仅用?标记参数位置：

await getConnection().query(
  `INSERT INTO form_transaction_setup(value1, value2, value3, value4, value5, ..., value19)
   VALUES('${value1}', '${value2}', '${value3}', '${value4}', ?, ..., '${value19}')`,
  [value5] // 参数数组作为第二个参数传入，自动绑定到SQL中的?
);

更优方案：兼顾性能与安全的批量插入 #

你提到单次函数会调用100+次插入，全参数化的单条插入性能损耗大，更推荐用TypeORM的批量插入功能，既能避免SQL注入，又能大幅提升性能：

// 准备批量插入的数据数组
const batchData = [];
for (let i = 0; i < 100; i++) {
  batchData.push({
    value1: sanitizedValue1, // 来自已清洗的数据表
    value2: sanitizedValue2,
    // ...其他17个字段
    value5: clientInputValue5 // 客户端输入直接传入，自动参数化
  });
}

// 执行批量插入
await getConnection()
  .createQueryBuilder()
  .insert()
  .into("form_transaction_setup")
  .values(batchData)
  .execute();

批量插入会把100条数据合并为少量SQL语句执行，性能远高于循环单条插入，同时所有字段都会自动参数化，彻底规避SQL注入风险，不需要再纠结插值和参数混用的问题。

注意事项 #

虽然你说其他值已妥善sanitized，但字符串插值仍存在潜在风险（比如sanitize逻辑漏洞），能不用就不用。如果必须混用，一定要确保插值的内容绝对安全（比如来自内部数据表、经过严格的格式校验和清洗）。

内容的提问来源于stack exchange，提问作者hamza malik