如何在JavaScript中构建含单引号的SQL并处理Undefined参数？

简便实现方案（直接拼接SQL） #

你可以封装一个简单函数处理值的包裹逻辑，同时处理单引号转义避免语法错误：

const formatSqlValue = (value) => {
  if (value === undefined) return 'null';
  // 转义字符串中的单引号，防止SQL语法报错
  const escaped = String(value).replace(/'/g, "''");
  return `'${escaped}'`;
};

const sql = `INSERT INTO MYTABLE(
  COLUMN1,
  COLUMN2
)
VALUES(
  ${formatSqlValue(param.value1)},
  ${formatSqlValue(param.value2)}
)`;

生成的SQL会自动把有值的参数用单引号包裹，undefined则替换为null，比如参数value1为test时，最终SQL为：

INSERT INTO MYTABLE(
  COLUMN1,
  COLUMN2
)
VALUES(
  'test',
  null
)

更安全的方案：参数化查询 #

直接拼接SQL存在SQL注入风险，生产环境强烈建议使用数据库驱动提供的参数化查询功能，它会自动处理类型转换、引号包裹和特殊字符转义：
以常用的mysql2库为例：

// 定义带占位符的SQL语句
const sql = `INSERT INTO MYTABLE(COLUMN1, COLUMN2) VALUES(?, ?)`;
// 准备参数数组，undefined自动替换为null
const params = [param.value1 ?? null, param.value2 ?? null];

// 执行参数化查询
connection.query(sql, params, (err, result) => {
  // 处理执行结果
});

其他数据库驱动（如pg、sqlite3）也有类似语法，比如pg用$1、$2作为占位符，本质都是让数据库安全处理参数，彻底规避注入问题。

内容的提问来源于stack exchange，提问作者Blueboye