PostgreSQL注入条件模板字符串引发查询错误

错误原因 #

你当前的代码把列名当成参数值处理了，导致生成的SQL不符合预期。具体来说，sql(pipe.${column})会将pipe.user_id作为字符串字面量插入SQL，而非列引用。最终PostgreSQL会把筛选用的UUID误判为列名，因此抛出「column 'xxx' does not exist」的错误。

修复方案 #

步骤1：先验证列名合法性（防SQL注入） #

必须确保传入的column是预定义的合法列名，避免恶意注入。比如维护一个允许的列名列表：

const allowedColumns = ['user_id', 'product_id', 'lead_id', 'updated_at']; // 根据你的表结构补充
if (column && !allowedColumns.includes(column)) {
  throw new Error('非法的筛选列名');
}

步骤2：正确构建WHERE条件 #

列名需要直接作为SQL的一部分（不能用参数绑定），筛选值则可以安全地用参数绑定。根据你使用的SQL库，有两种处理方式：

如果你用Slonik这类带标识符处理的库：

用sql.identifier安全处理列名：

const buildFilter = column && filter 
  ? sql`WHERE ${sql.identifier(['pipe', column])} = ${filter}` 
  : sql``;

通用方案（无库标识符方法时）：

验证列名合法后，直接拼接列名，筛选值用参数绑定：

// 先完成列名合法性验证
const buildFilter = column && filter 
  ? sql`WHERE pipe.${column} = ${filter}` 
  : sql``;

修复后的完整代码示例 #

const allowedColumns = ['user_id', 'product_id', 'lead_id', 'updated_at'];
const buildFilter = column && filter 
  ? (allowedColumns.includes(column) 
      ? sql`WHERE pipe.${column} = ${filter}` 
      : sql``) 
  : sql``;

const pipelineData = await sql`select pipe.*,
   pipe.updated_at hello,
   prod.details ->> 'manufacturer'      make,
   prod.details ->> 'model'             model,
   prod.details ->> 'model_year'        model_year,
   prod.details ->> 'advertised_price'  price,
   (select first_name || ' ' || last_name from tbl_users where id=pipe.user_id) as user_name,
   (select first_name || ' ' || last_name from tbl_customers where id=lead.customer_id) as customer_name
   from tbl_pipeline pipe
  join tbl_products prod on pipe.product_id = prod.id
  join tbl_leads lead on pipe.lead_id = lead.id
  ${buildFilter}`;

为什么静态查询能正常运行？ #

静态查询中你直接写了WHERE pipe.user_id = '4205fd0a-d1f3-40cc-b91c-d08c88b9947c'，这里pipe.user_id是正确的列引用，UUID是字符串常量，PostgreSQL能正确解析。而动态构建时错误地将列名转成了字符串参数，导致解析逻辑混乱。

内容的提问来源于stack exchange，提问作者CourtneyJ