使用Node.js结合mssql执行查询时遇“?”附近语法错误求助

SQL Server不支持?作为参数占位符，且你使用的mssql库的query()方法不会自动解析?并替换为参数值。你编写的SQL语句直接将?发送给SQL Server，导致数据库引擎无法识别该语法，抛出"Incorrect syntax near '?'"错误。

方法一：使用参数绑定（推荐，防SQL注入） #

通过request.input()方法显式绑定参数，SQL Server使用@前缀的命名参数，这是最安全且符合库规范的方式：

let pool = await sql.connect(dbObject.config);
let request = pool.request();

// 绑定参数，依次指定参数名、数据类型、参数值
request.input('name', sql.VarChar, name);
request.input('percentage', sql.Decimal, percentage);
request.input('IsActive', sql.Bit, checkboxBinary);

let result1 = await request.query(`
  INSERT INTO saleDiscount (name, percentage, IsActive) 
  VALUES (@name, @percentage, @IsActive)
`);
console.log(result1);
sql.close();

方法二：使用模板字符串（不推荐，存在SQL注入风险） #

如果只是快速测试，可以直接用模板字符串将参数插入SQL语句，但注意这种方式会有SQL注入风险，生产环境禁止使用：

let pool = await sql.connect(dbObject.config);
let result1 = await pool.request().query(`
  INSERT INTO saleDiscount (name, percentage, IsActive) 
  VALUES ('${name}', ${percentage}, ${checkboxBinary})
`);
console.log(result1);
sql.close();

内容的提问来源于stack exchange，提问作者Shahzad Qasir