如何在JavaScript的INSERT语句中使用变量作为表名？

当表名是变量（例如var table1 = "beta1";）时，不能直接像替换普通参数那样处理，因为MySQL等数据库的参数化查询不支持将表名作为参数绑定。需要结合安全的表名校验和参数化值查询来调整代码，同时避免SQL注入风险。

原代码的问题 #

原代码不仅硬编码了表名X，还直接拼接commandvalue和extravalue到SQL语句中，存在严重的SQL注入风险，恶意输入可能破坏数据库。

调整后的代码示例 #

// 定义表名变量
var table1 = "beta1";

// 关键：先做表名白名单校验，只允许预先定义的合法表名
const allowedTables = ['beta1', 'beta2', 'valid_table_3'];
if (!allowedTables.includes(table1)) {
  throw new Error('非法的表名，拒绝执行');
}

// 安全构建SQL：表名用模板字符串拼接（已校验），值用?占位符
var sqlKIA = `INSERT INTO ${table1} (command, extra) VALUES (?, ?)`;
// 将值作为数组传入query方法，由数据库驱动自动处理转义
con.query(sqlKIA, [commandvalue, extravalue], function (err, result) {
  if (err) throw err;
  console.log("1条记录已插入");
});

核心说明 #

• 表名处理：由于数据库驱动不支持表名参数化，只能通过字符串拼接，但必须通过白名单校验确保表名合法，禁止用户传入任意表名，防止注入攻击（比如恶意输入beta1; DROP TABLE users;）。
• 值的处理：使用?作为值的占位符，将变量放入数组传给con.query，驱动会自动对特殊字符转义，彻底避免SQL注入，这比直接拼接字符串安全得多。

内容的提问来源于stack exchange，提问作者Feynman137