PostgreSQL美元参数正确语法是什么？SET语句能否使用该参数？

核心问题 #

PostgreSQL的SET语句属于会话控制类命令，这类语法本身不支持位置参数（$1、$2等），这是PostgreSQL的语法限制，和Node.js的pg包无关。而SELECT这类数据查询语句支持参数化，所以你第一个查询能正常运行。

安全替代方案（避免SQL注入） #

不要手动转义，推荐以下两种安全方法：

方法1：使用pg-format工具包 #

pg-format会自动处理字符串转义，确保安全：

1. 安装依赖：

npm install pg-format

2. 代码示例：

import format from 'pg-format';
const client: PoolClient = ...;
const query = format('SET "gvc.currentProjectId" = %L', projectId);
await client.query(query);

%L占位符会自动将输入转义为PostgreSQL安全的字符串字面量，有效避免注入。

方法2：使用PostgreSQL内置的quote_literal函数 #

通过参数化查询调用quote_literal函数，间接实现安全赋值：

const client: PoolClient = ...;
await client.query('SET "gvc.currentProjectId" = quote_literal($1)', [projectId]);

如果需要处理null值，可以改用quote_nullable函数：

await client.query('SET "gvc.currentProjectId" = quote_nullable($1)', [projectId]);

注意事项 #

• 不要手动拼接或转义字符串，很容易遗漏边界情况（比如包含单引号、特殊字符的输入），导致注入风险。
• 上述两种方法都能确保输入被安全处理，无需担心SQL注入。

内容的提问来源于stack exchange，提问作者Martin Geisse