使用mysql2时SQL预编译语句失效，问题出在哪里？

核心问题在于MySQL的预编译参数占位符?仅支持绑定数据值，无法用于替换数据库名、表名这类SQL标识符。

你尝试用?占位数据库名的写法，不符合MySQL预编译机制的规则——预编译语句在解析阶段需要明确SQL的结构（比如要操作的数据库、表），而标识符属于结构的一部分，不能通过参数动态绑定，因此数据库会直接把?当成语法错误处理。

解决方案 #

如果要安全地处理数据库名这类标识符，需要使用mysql2提供的标识符转义方法，而不是参数绑定。具体有两种方式：

1. 使用全局的escapeId方法：

import { ConnectionOptions, createConnection, escapeId } from "mysql2/promise";

// ... 你的数据库配置代码 ...

const defaultDbConnection = await createConnection(defaultDbConfig);
const escapedDbName = escapeId(this.dbConfig.database);
await defaultDbConnection.execute(`CREATE DATABASE ${escapedDbName}`);

2. 使用连接实例的escapeId方法：

const defaultDbConnection = await createConnection(defaultDbConfig);
const escapedDbName = defaultDbConnection.escapeId(this.dbConfig.database);
await defaultDbConnection.execute(`CREATE DATABASE ${escapedDbName}`);

补充说明 #

• 字符串拼接方式能成功，是因为直接把数据库名嵌入了SQL语句，但如果数据库名来自不可信的输入（比如用户提交的内容），会有SQL注入风险。用escapeId转义后，就能安全处理包含特殊字符的标识符，同时避免注入问题。
• 你的Docker MySQL配置本身没有问题，错误完全来自SQL语法和预编译的使用方式。

内容的提问来源于stack exchange，提问作者Edy Bourne