如何用JavaScript结合PostgreSQL动态构建SQL查询（@vercel/postgres）

你尝试的写法无效是因为直接把拼接好的字符串传给sql模板标签时，整个字符串会被当作单个参数值，而非解析为SQL语句，同时还会带来SQL注入风险。下面是两种安全且有效的动态构建方式：

方法一：通过片段数组与参数数组构建 #

async function getProducts(categoryId, typeId = false) {
  // 初始化查询片段和参数数组
  const querySegments = ['select * from products where categoryId=$1'];
  const params = [categoryId];

  // 动态添加typeId条件
  if (typeId) {
    // 用参数数组长度+1生成新的占位符，避免冲突
    querySegments.push(`and typeId=$${params.length + 1}`);
    params.push(typeId);
  }

  // 拼接片段并执行查询
  const products = await sql(querySegments.join(' '), params);
  return products;
}

这种方式通过管理查询片段和参数数组，用PostgreSQL的位置占位符$n绑定参数，既实现了动态查询，又能避免SQL注入。

方法二：利用@vercel/postgres的查询对象拼接特性 #

@vercel/postgres的sql标签返回的是可执行的查询对象，支持通过模板字符串直接扩展：

async function getProducts(categoryId, typeId = false) {
  let query = sql`select * from products where categoryId=${categoryId}`;
  
  if (typeId) {
    // 直接拼接新的查询条件和参数
    query = sql`${query} and typeId=${typeId}`;
  }
  
  const products = await query;
  return products;
}

这种写法更贴近你想要的模板字符串动态构建风格，且同样安全——所有参数都会被自动绑定，不会直接插入到SQL语句中。

注意：绝对不要直接将用户输入的变量拼接进SQL字符串，这会导致严重的SQL注入漏洞，上述两种方法都是安全的参数绑定方式。

内容的提问来源于stack exchange，提问作者Hubert