Sequelize使用sequelize.fn时如何避免命名绑定参数错误

当你使用Sequelize的sequelize.fn调用MariaDB的ENCODE函数更新密码时，如果密码包含$符号，Sequelize会误将$后的内容识别为命名绑定参数，导致报错。可以通过以下两种安全的方式解决：

方法一：使用sequelize.literal结合绑定参数 #

将整个ENCODE函数调用用sequelize.literal包裹，同时通过bind选项传递密码参数，避免Sequelize解析密码中的$符号：

user.update({
  password: sequelize.literal(`ENCODE(:password, 'ENCODE_PASSWORD')`)
}, {
  bind: { password: password }
});

这种方式既规避了参数解析问题，又通过绑定参数防止了SQL注入风险。

方法二：显式将密码作为绑定参数传入sequelize.fn #

如果你更倾向于使用sequelize.fn，可以将密码通过绑定参数传递，而非直接传入字符串：

user.update({
  password: sequelize.fn(
    'encode',
    sequelize.literal(':password'),
    'ENCODE_PASSWORD'
  )
}, {
  bind: { password: password }
});

这里用sequelize.literal标记绑定参数占位符，再通过bind选项传入实际密码值，同样能避免Sequelize误解析$符号。

注意事项 #

• 禁止直接通过字符串拼接传递密码，这会引入SQL注入漏洞。
• 确保ENCODE_PASSWORD为固定加密密钥，不要将其作为用户可控参数传入。

内容的提问来源于stack exchange，提问作者PiFanatic