如何优化PostgreSQL中动态INSERT函数的代码可读性？

API 探路者

2026-7-6

PostgreSQL动态INSERT语句的转义优化方案

你的动态SQL拼接不仅可读性差，还存在潜在SQL注入风险。可以通过以下两种方式彻底解决这类转义问题：

方法一：使用`format()`函数自动处理转义

PostgreSQL的format()函数支持占位符语法，能自动处理字符串和标识符的转义需求：

%I 用于标识符（表名、列名等），自动处理特殊字符与大小写
%L 用于字符串值，自动添加单引号并转义内部引号

优化后的代码示例：

EXECUTE format(
    'INSERT INTO %I (col1, col2, col3) VALUES (%L, %L, %L) ON CONFLICT DO NOTHING RETURNING code',
    _table, _col1, _col2, _col3::text
) INTO _code;

方法二：结合`format()`与`USING`子句（更安全高效）

用%s作为参数占位符，再通过USING子句传递参数，PostgreSQL会自动处理类型匹配和转义，完全无需手动处理引号：

EXECUTE format(
    'INSERT INTO %I (col1, col2, col3) VALUES ($1, $2, $3) ON CONFLICT DO NOTHING RETURNING code',
    _table
) INTO _code USING _col1, _col2, _col3;