Node.js中INSERT语句传入前端表名失败，报错列数不匹配求解答

报错原因与修复 #

你遇到的Column count doesn't match value count at row 1错误，是因为VALUES (?)中的单个?把你的values数组当作了单个值，但你要插入的是2个字段，导致值的数量和列数不匹配。

正确写法一（推荐） #

将VALUES中的占位符数量与字段数对应，同时展开值数组：

const q = "INSERT INTO ?? (`text`,`url`) VALUES (?, ?)";
const values = [req.body.text, req.body.url];
// 必须做：验证tableName合法性
const allowedTables = ['allowed_table_1', 'allowed_table_2'];
if (!allowedTables.includes(tableName)) {
  return res.status(400).send('非法表名');
}
db.query(q, [tableName, ...values], (err, data) => {
  if (err) throw err;
  // 处理插入结果
});

正确写法二（兼容批量插入） #

如果需要兼容批量插入场景，可以保持VALUES (?)，但将值包装为嵌套数组：

const q = "INSERT INTO ?? (`text`,`url`) VALUES (?)";
const values = [req.body.text, req.body.url];
db.query(q, [tableName, [values]], (err, data) => {
  // 处理逻辑
});

??与?占位符的作用 #

• ??：标识符占位符
  专门用于表名、列名这类SQL标识符。普通的?会给值添加单引号（比如把mytable变成'mytable'），这会直接导致SQL语法错误。??会自动对标识符做转义处理，既保证语法正确，也能降低注入风险。
• ?：值占位符
  用于字符串、数字等普通数据值。它会自动处理值的转义（比如转义单引号），彻底避免SQL注入问题，同时保证值符合SQL格式要求。

关键安全提示 #

前端传入的表名绝对不能直接信任，必须做白名单校验——提前定义允许使用的表名列表，只有在列表内的表名才允许执行操作，否则直接拒绝请求。这是防止SQL注入的核心手段。

内容的提问来源于stack exchange，提问作者night_thinker