Node.js中为MS SQL Server绑定动态数组参数的安全实现方案

在Node.js中通过参数绑定与MS SQL Server交互时，能有效规避SQL注入，但遇到长度不固定的动态数组用于IN子句的场景时，直接传入数组的方式无法生效，而拼接字符串的做法在面向互联网的生产环境中存在极高的注入风险。比如需要查询references = ['B1', 'C2', 'D4', 'Z8']这类动态列表的数据，常规参数绑定方式不支持直接传入数组。

为什么没有直接的标准实现？ #

MS SQL Server本身不支持将数组作为参数直接传入，Node.js的SQL驱动（如常用的mssql库）需遵循数据库的参数规则，因此没有现成的“数组参数绑定”API。不过我们可以通过以下两种安全方案实现需求，同时保留参数绑定的防注入特性：

方案一：动态生成多个参数并逐个绑定 #

这是最常用的轻量方案，根据数组长度生成对应数量的命名参数，逐个绑定值，完全符合参数绑定的安全要求：

const references = ['B1', 'C2', 'D4', 'Z8'];
const pool = await sql.connect(config);

// 生成参数占位符，如@ref0, @ref1, @ref2, @ref3
const paramPlaceholders = references.map((_, idx) => `@ref${idx}`).join(', ');
// 构建查询语句
const query = `SELECT * FROM Table WHERE Reference IN (${paramPlaceholders})`;

const request = pool.request();
// 循环绑定每个参数
references.forEach((ref, idx) => {
  request.input(`ref${idx}`, sql.NVarChar(5), ref);
});

const result = await request.query(query);

如果数组为空，可额外处理避免SQL语法错误，比如改为WHERE 1=0（返回空结果）或设置默认筛选逻辑，确保语句合法。

方案二：使用表值参数（TVP） #

若需频繁处理这类动态数组，或数组长度较大，推荐使用SQL Server原生支持的表值参数（Table-Valued Parameter），性能更优且适合批量场景：

1. 先在SQL Server中创建自定义表类型 #

CREATE TYPE ReferenceList AS TABLE (Value NVARCHAR(5));

2. Node.js中使用表值参数 #

const references = ['B1', 'C2', 'D4', 'Z8'];
const pool = await sql.connect(config);

// 构造表值参数的结构
const tvp = new sql.Table();
tvp.columns.add('Value', sql.NVarChar(5));
// 填充数据
references.forEach(ref => tvp.rows.add(ref));

// 执行查询
const result = await pool.request()
  .input('ReferenceList', sql.TVP('ReferenceList'), tvp)
  .query(`SELECT * FROM Table WHERE Reference IN (SELECT Value FROM @ReferenceList)`);

这种方式由数据库层面支持批量参数传递，既安全又高效。

内容的提问来源于stack exchange，提问作者Ben in CA