使用Node.js的MySQL2存储含撇号的JSON对象到MySQL JSON列遇语法错误求助

问题根源 #

你已经定位到是问题文本里的撇号（单引号）引发的报错，本质上这是因为直接将JSON字符串拼接进SQL语句时，没有对特殊字符做转义处理。比如你的问题Choose games you're currently playing里的单引号，会在拼接后提前闭合SQL中的字符串字段，导致整个SQL语句的语法结构被破坏。而且这种直接拼接的写法还存在严重的SQL注入风险，绝对不是安全的做法。

正确的解决方式：使用参数化查询 #

MySQL2原生支持参数化查询，这是处理这类问题的标准方案——它会自动帮你处理特殊字符的转义，同时彻底规避SQL注入风险。

修改后的代码示例 #

// 用占位符?替代直接拼接的字符串内容
const query = `INSERT INTO user_questions(_id, questions, created_at, updated_at, deleted) VALUES(?, ?, NOW(), NOW(), 0)`;
// 将参数以数组形式传递给query方法，MySQL2会自动处理转义
const result = await db.query(query, [1, JSON.stringify(questions)]);

为什么参数化查询更靠谱？ #

• 它把SQL逻辑和数据完全分离，数据库会先解析SQL结构，再代入参数，从根源上避免了特殊字符破坏语法的问题。
• 彻底杜绝SQL注入攻击，这是编写数据库操作代码的最佳实践，比手动转义安全得多。

备选方案：手动转义（不推荐） #

如果你出于某些原因一定要手动处理转义，可以使用MySQL2提供的escape方法：

const escapedQuestions = db.escape(JSON.stringify(questions));
const query = `INSERT INTO user_questions(_id, questions, created_at, updated_at, deleted) VALUES(1, ${escapedQuestions}, NOW(), NOW(), 0)`;
const result = await db.query(query);

但这种写法不仅繁琐，还可能因为遗漏某些特殊字符导致问题，所以优先推荐参数化查询的写法。

内容的提问来源于stack exchange，提问作者Jadenkun