如何在Node.js的pg库中参数化PostgreSQL查询的列名？

首先得明确一点：PostgreSQL的参数占位符（$1、$2这类）只能用来传递值，不能用来替换标识符（列名、表名、函数名等）。这就是你第一种尝试失败的原因——$1会被当作字符串字面量，实际执行的是WHERE 'foo'='bar'这种字符串比较，而不是你想要的列与值的匹配。

至于第二种转oid的方式，确实行不通，因为oid是PostgreSQL系统内部用来标识数据库对象的数值，直接把列名字符串转成oid没有意义，你得先查询系统表（比如pg_attribute）拿到对应列的oid再构建查询，这反而绕了远路，完全没必要。

安全的解决方案：白名单验证 + 模板字符串 #

既然你说这些key是预定义的、非用户输入，那最安全也最简单的方式就是先做一个列名白名单，验证你要使用的列名是否在允许的范围内，再用模板字符串拼接列名（值还是用参数化传递）。这样既避免了SQL注入风险，又实现了动态列名的需求。

示例代码如下：

const pg = require('pg');
const pool = new pg.Pool();
await pool.connect();

// 定义你的预允许列名白名单
const allowedColumns = ['foo', 'baz', 'qux']; // 替换成你实际的预定义列名
let selector = { key: 'foo', value: 'bar' };

// 先验证列名是否在白名单内
if (!allowedColumns.includes(selector.key)) {
  throw new Error(`不允许使用的列名：${selector.key}`);
}

// 用双引号包裹列名，避免列名是关键字或包含特殊字符的情况
const result = await pool.query(`SELECT * FROM foobar WHERE "${selector.key}"=$1::text`, [selector.value]);

为什么这个方案安全？ #

• 白名单确保只有你预先认可的列名能被用于查询，哪怕后续代码有变动，也不会意外引入危险的列名或注入内容；
• 列名之外的查询值依然用参数化传递，保持了参数化查询的安全性；
• 用双引号包裹列名是PostgreSQL的标准写法，能处理列名包含大写、特殊字符或者是SQL关键字的场景（比如你的列名是user，不加双引号会被当成关键字报错）。

内容的提问来源于stack exchange，提问作者Tom