如何在Ballerina的sql:ParameterizedQuery中参数化MySQL查询的排序列与排序顺序？

你遇到的问题本质是sql:ParameterizedQuery仅支持对查询值进行参数化，像排序列名（COLUMN_NAME）、排序顺序（ASC/DESC）这类属于SQL语法结构的部分，没法直接通过参数绑定实现动态替换。

你之前尝试的代码：

sqlQuery = sql:queryConcat( sqlQuery, ` ORDER BY ${'order.columnName} ${'order.sortOrder}`)

无法正常工作，核心原因就是参数化查询的设计逻辑——它只允许将动态值（比如WHERE条件里的字段值）替换为参数，不会解析SQL语法关键字或列名这类结构。

可行解决思路 #

• 白名单校验：先定义允许作为排序列的字段白名单，以及仅允许ASC/DESC的排序顺序白名单，确保传入的参数在合法范围内，避免SQL注入风险
• 字符串拼接生成SQL：在通过白名单校验后，直接将合法的列名和排序顺序拼接到SQL语句中，示例如下：

  -- 假设已完成白名单校验
  sqlQuery = sql:queryConcat( sqlQuery, ` ORDER BY ` ++ order.columnName ++ ` ` ++ order.sortOrder)
  

注意：必须做严格的白名单校验，否则会存在SQL注入的安全风险。

内容的提问来源于stack exchange，提问作者Nadeeshan Dissanayake