如何优雅遍历JavaScript对象并获取索引实现参数化SQL构建

针对前端动态传递查询字段、需要生成带递增占位符的参数化SQL的场景，这里提供几种符合JavaScript风格的优雅实现方式，兼顾安全性与可读性：

方案一：用reduce同时生成条件和参数数组 #

一次遍历完成条件字符串与参数列表的构建，逻辑紧凑高效：

app.post("/foo", (req, res) => {
  const spec = JSON.parse(req.body);
  const entries = Object.entries(spec);
  
  // 处理无查询条件的边界情况，避免SQL语法错误
  if (entries.length === 0) {
    const sql = `SELECT afield FROM atable`;
    // 后续执行查询逻辑，比如调用数据库驱动的参数化查询方法
    return;
  }

  // 通过reduce同时生成条件片段数组和参数数组
  const [conditions, params] = entries.reduce(([conds, vals], [key, value], index) => {
    // 占位符从$1开始递增，所以用index+1
    conds.push(`${key} = $${index + 1}`);
    vals.push(value);
    return [conds, vals];
  }, [[], []]);

  // 拼接完整SQL
  const sql = `SELECT afield FROM atable WHERE ${conditions.join(" AND ")}`;
  
  // 执行参数化查询时传入params数组，比如pg.query(sql, params)
});

方案二：用map拆分逻辑（更直观） #

如果觉得reduce不够直观，可通过两次map分别处理条件与参数，代码可读性更强：

app.post("/foo", (req, res) => {
  const spec = JSON.parse(req.body);
  const entries = Object.entries(spec);

  if (entries.length === 0) {
    const sql = `SELECT afield FROM atable`;
    // 执行查询逻辑
    return;
  }

  // 生成条件片段，占位符索引从1开始
  const conditions = entries.map(([key], index) => `${key} = $${index + 1}`);
  // 提取所有查询参数值
  const params = entries.map(([_, value]) => value);
  
  const sql = `SELECT afield FROM atable WHERE ${conditions.join(" AND ")}`;
  
  // 执行参数化查询
});

关键注意事项 #

1. 杜绝直接拼接用户输入：始终使用参数化查询（将参数单独传入数据库驱动），彻底避免SQL注入风险
2. 处理空条件场景：必须判断查询条件是否为空，否则会生成WHERE 这类语法错误的SQL
3. 字段白名单校验：提前定义允许查询的字段列表，遍历spec时校验key是否在白名单内，防止用户查询敏感字段或不存在的字段
4. 扩展多操作符支持：若需支持LIKE、>、<等操作，可让前端传递包含操作符的结构（比如{ "age": { "op": ">", "value": 18 } }），遍历过程中动态拼接操作符

内容的提问来源于stack exchange，提问作者Joymaker