如何用Vercel Postgres动态构建批量插入SQL查询（非ORM）

直接拼接字符串的方式行不通，因为@vercel/postgres的sql模板字面量会把拼接后的内容当成单个字符串参数，导致SQL语法错误，同时还存在SQL注入风险。你可以利用sql.join方法结合参数化片段来安全实现批量插入：

import { sql } from "@vercel/postgres";

export async function bulkInsert(userIds, charge) {
  // 为每个用户生成一个参数化的VALUES子句片段
  const valueEntries = userIds.map(id => 
    sql`(${id}, ${charge.created_date}, ${charge.amount}, ${charge.note})`
  );

  // 使用sql.join安全拼接所有片段，自动处理参数绑定
  await sql`INSERT INTO charges (user_id, date_created, amount, note)
            VALUES ${sql.join(valueEntries, ", ")}`;
}

原理说明 #

• 每个sql模板片段会自动把内部变量（比如id、charge.created_date）转换成参数化占位符，避免SQL注入。
• sql.join会将多个参数化片段合并成合法的SQL语句，同时保留所有参数的绑定关系，完全符合Vercel Postgres的参数化查询要求。

注意事项 #

• 确保charge.created_date是合法的日期类型（如Date对象或Postgres可识别的日期字符串），Vercel Postgres会自动处理类型转换。
• userIds应为数字数组（若你的user_id是字符串类型，直接传入字符串即可，无需额外转换）。

内容的提问来源于stack exchange，提问作者Elnoor