PostgreSQL使用变量时ORDER BY失效，硬编码值排序正常求因

核心问题 #

你碰到的情况是因为SQL模板字符串工具（比如Next.js的sql或Drizzle ORM这类）处理${sortType}时，把传入的'e.name'当成了字符串字面量参数，而非数据库列名。实际执行的SQL是：

ORDER BY 'e.name'

数据库会把这个字符串视为固定值，所有行的该值都一致，因此会自动 fallback 到默认的主键（id）排序，这就是结果按id排列而非e.name的原因。

而手动写e.name时，模板字符串直接将其作为SQL语法的一部分，数据库能识别为列名，自然可以正常排序。

解决方法 #

方法1：用ORM列引用（推荐）

如果使用带Schema定义的ORM（比如Drizzle），直接传入对应列的引用对象，工具会自动处理成合法列名：

// 假设已定义animals和areas表的schema
import { animals, areas } from './schema';

export async function fetchAnimalList(sortType) {
  noStore();
  try {
    // 根据传入的sortType映射到对应的列
    const sortColumn = sortType === 'e.name' ? animals.name : animals.id;
    const areasResult = await sql<Animals>`
      SELECT e.id, e.name, e.slug, e.sliderarray, e.location, e.classification1, a.name AS locationname
      FROM ${animals} e
      JOIN ${areas} a ON (e.location = a.displayorder)
      ORDER BY ${sortColumn}
    `;
    return areasResult.rows;
  }
}

方法2：白名单校验+原生SQL注入（需注意安全）

如果必须用字符串参数，先做严格的白名单校验，仅允许合法排序字段，再用sql.raw()直接注入SQL（避免参数化）：

export async function fetchAnimalList(sortType) {
  noStore();
  // 定义允许的排序字段白名单，防止SQL注入
  const allowedSortFields = ['e.id', 'e.name', 'locationname'];
  // 校验不通过则使用默认排序
  const validSortType = allowedSortFields.includes(sortType) ? sortType : 'e.id';

  try {
    const areas = await sql<Animals>`
      SELECT e.id, e.name, e.slug, e.sliderarray, e.location, e.classification1, a.name AS locationname
      FROM animals e
      JOIN areas a ON (e.location = a.displayorder)
      ORDER BY ${sql.raw(validSortType)}
    `;
    return areas.rows;
  }
}

内容的提问来源于stack exchange，提问作者Artur Galata