如何在Sequelize原生SQL查询中替换表名？

问题核心是Sequelize的replacements机制会给字符串类型的替换值自动包裹单引号，替换表名后生成的SQL会变成DELETE FROM 'table_name' WHERE ...，而SQL语法中表名不能用单引号包裹，这直接引发了语法错误。

以下是两种可行的解决方法：

方法1：模板字符串拼接表名（需注意安全校验） #

如果表名是固定值或经过严格校验的可信内容，可以直接用模板字符串拼接：

const tableName = 'table_name';
await sequelize.query(
    `DELETE FROM \`${tableName}\` WHERE (?) IN (?)`,
    {
        replacements: ["project_id", projectIds],
        type: QueryTypes.DELETE,
    }
);

注意：若表名来自用户输入，必须先做严格校验（比如只允许字母、下划线，匹配预设白名单），彻底规避SQL注入风险。

方法2：用Sequelize标识符转义方法（更安全） #

借助Sequelize提供的quoteIdentifier方法，自动适配数据库类型转义表名，既解决语法问题又提升安全性：

const tableName = 'table_name';
const escapedTableName = sequelize.getQueryInterface().quoteIdentifier(tableName);
await sequelize.query(
    `DELETE FROM ${escapedTableName} WHERE (?) IN (?)`,
    {
        replacements: ["project_id", projectIds],
        type: QueryTypes.DELETE,
    }
);

这个方法会根据你使用的数据库（MySQL、PostgreSQL等）自动生成符合规范的标识符格式（比如MySQL用反引号，PostgreSQL用双引号）。

内容的提问来源于stack exchange，提问作者Nick