NextJS使用mysql2执行INSERT时Bind参数格式错误的解决求助

错误原因分析 #

你遇到的错误根源有以下几点：

1. dbconnection.execute(query, data)调用错误：mysql2默认未启用命名占位符，第二个参数必须是数组类型的绑定参数，但你传入了对象，且SQL语句直接拼接变量，既触发参数格式错误，还存在严重SQL注入风险。
2. multiparty解析的fields字段是数组：同名字段支持多值提交，你直接使用data.fields.ProductID会传入数组而非单个有效值。
3. 文件字段处理错误：ProductImage是文件输入项，需从files而非fields中获取，当前代码完全错误处理了文件上传。
4. 数组遍历逻辑错误：data是包含fields和files的对象，不是数组，data.forEach会直接报错。
5. 未引入依赖库：代码中使用moment但未安装引入该库。

完整修复代码 #

修改后的API路由代码 #

import mysql from "mysql2/promise";
import multiparty from "multiparty";
import fs from "fs/promises"; // 用于读取文件内容
import moment from "moment"; // 需先执行安装：npm install moment

export default async function handler(req, res) {
  let dbconnection;
  try {
    dbconnection = await mysql.createConnection({
      host: "localhost",
      database: "onlinestore",
      port: 3306,
      user: "root",
      password: "Jennister123!",
    });

    const form = new multiparty.Form();
    const { fields, files } = await new Promise((resolve, reject) => {
      form.parse(req, function (err, fields, files) {
        if (err) reject(err);
        resolve({ fields, files });
      });
    });

    // 从fields数组中提取单个字段值
    const ProductID = fields.ProductID[0];
    const ProductName = fields.ProductName[0];
    const ProductDescription = fields.ProductDescription[0];
    const ProductPrice = fields.ProductPrice[0];
    const DateWhenAdded = fields.DateWhenAdded[0];

    // 处理上传图片：读取文件并转为base64格式
    let ProductImageBase64 = "";
    if (files.ProductImage && files.ProductImage.length > 0) {
      const imageFile = files.ProductImage[0];
      const imageBuffer = await fs.readFile(imageFile.path);
      ProductImageBase64 = `data:image/${imageFile.ext};base64,${imageBuffer.toString("base64")}`;
    }

    // 使用占位符编写SQL，避免注入风险
    const query = `INSERT INTO games 
      (ProductID, ProductName, ProductDescription, ProductImage, ProductPrice, DateWhenAdded) 
      VALUES (?, ?, ?, ?, ?, ?)`;

    // 传递数组类型的绑定参数，与占位符顺序一一对应
    await dbconnection.execute(query, [
      ProductID,
      ProductName,
      ProductDescription,
      ProductImageBase64,
      ProductPrice,
      DateWhenAdded,
    ]);

    // 查询刚插入的数据用于返回（可选）
    const [insertedGames] = await dbconnection.execute(
      `SELECT * FROM games WHERE ProductID = ?`,
      [ProductID]
    );

    // 格式化日期
    const formattedGame = insertedGames[0];
    formattedGame.DateWhenAdded = moment(formattedGame.DateWhenAdded).format("l");

    res.status(200).json({ games: formattedGame });
  } catch (error) {
    res.status(500).json({ error: error.message });
  } finally {
    // 确保数据库连接无论成功失败都关闭
    if (dbconnection) await dbconnection.end();
  }
}

export const config = {
  api: {
    bodyParser: false,
  },
};

关键修复点说明 #

• SQL参数绑定：改用?占位符，传递对应顺序的数组参数，解决格式错误同时杜绝SQL注入。
• multiparty数据处理：从fields数组中取单个值，从files中读取上传图片并转为base64存储。
• 连接管理优化：在finally块中关闭数据库连接，避免连接泄漏。
• 逻辑修正：移除错误的data.forEach，改为查询插入后的单条数据进行日期格式化。
• 依赖补全：引入并安装moment库用于日期处理。

额外注意事项 #

1. 执行npm install multiparty mysql2 moment安装所有依赖。
2. 检查数据库表字段类型：ProductImage需设为TEXT/LONGTEXT，ProductPrice设为DECIMAL，DateWhenAdded设为DATE/DATETIME。
3. 建议添加表单验证逻辑（必填项检查、文件类型限制），避免无效数据提交。

内容的提问来源于stack exchange，提问作者joeyipod