如何在ExpressJS中正确使用PostgreSQL的IN查询子句

你把CSV格式的字符串作为单个参数传给$2后，PostgreSQL会将整个字符串'abc','def'当作一个完整的标签值去匹配，而不是拆分成'abc'和'def'两个独立值。你的表中不存在等于'abc','def'的tag，所以返回空数组。

推荐两种安全且有效的方式：

方法1：使用PostgreSQL的= ANY()操作符（更简洁） #

直接将标签数组作为参数传入，PostgreSQL会自动处理数组匹配：

return pool.query(`SELECT tag_id, tag FROM tags WHERE owner_id = $1 AND tag = ANY($2)`, [ownerId, tags]);

这里不需要把数组转成CSV字符串，直接传原始数组即可，pg客户端会自动将其转换为PostgreSQL支持的数组类型。

方法2：动态生成IN子句的占位符 #

如果一定要用IN语法，可以根据数组长度动态生成对应的参数占位符，避免手动拼接字符串：

// 生成$2,$3,...这样的占位符
const placeholders = tags.map((_, idx) => `$${idx + 2}`).join(',');
// 拼接参数数组：[ownerId, ...tags]
return pool.query(`SELECT tag_id, tag FROM tags WHERE owner_id = $1 AND tag IN (${placeholders})`, [ownerId, ...tags]);

这种方式通过参数化查询保证了安全性，不会引入SQL注入风险。

内容的提问来源于stack exchange，提问作者RobertW