Sequelize-Typescript+PostgreSQL14：如何免原生查询实现安全批量更新？

我使用sequelize-typescript，数据库为PostgreSQL14，需要执行批量更新操作。已知Sequelize本身似乎不支持批量更新，我自己编写的原生SQL如下：

UPDATE feed_items SET tags = val.tags FROM 
(
    VALUES ('ddab8ce7-afa3-824f-7b65-edfb53a71764'::uuid,ARRAY[]::VARCHAR(255)[]), 
    ('ece9f2fc-2a09-4a95-16ce-07293b0a14d2'::uuid,ARRAY[]::VARCHAR(255)[])
) AS val(id, tags) WHERE feed_items.id = val.id

我希望从给定的字符串与数组值生成该查询（表中tags字段为字符串数组类型），现提出两个问题：

1. 是否存在无需使用原生查询生成该语句的方法？ #

目前Sequelize（包括sequelize-typescript）没有提供开箱即用的API来直接生成UPDATE ... FROM VALUES格式的批量更新语句。

如果想避免手写完整原生SQL，可以借助Sequelize的查询构造器结合literal和参数绑定来拼接语句，但本质还是需要构造VALUES子句的结构，无法完全脱离原生SQL片段的编写。

另外，你也可以通过循环调用单条UPDATE语句实现类似效果，但这种方式会生成多条SQL请求，效率远低于批量更新：

// 不推荐：效率低，仅作备选方案
for (const item of updateData) {
  await FeedItem.update({ tags: item.tags }, { where: { id: item.id } });
}

2. 有没有能避免SQL注入的安全生成方式？ #

可以通过Sequelize的参数绑定功能安全生成批量更新语句，核心是避免直接拼接用户输入或变量到SQL字符串中。以下是两种可靠的实现方式：

方式1：使用replacements参数绑定

// 待更新的数据
const updateData = [
  { id: 'ddab8ce7-afa3-824f-7b65-edfb53a71764', tags: [] },
  { id: 'ece9f2fc-2a09-4a95-16ce-07293b0a14d2', tags: [] }
];

// 生成占位符与替换参数
const valuePlaceholders = updateData.map(item => `(:id_${item.id}, ARRAY[:tags_${item.id}]::VARCHAR(255)[])`).join(', ');
const replacements = updateData.reduce((acc, item) => {
  acc[`id_${item.id}`] = item.id;
  acc[`tags_${item.id}`] = item.tags;
  return acc;
}, {} as Record<string, string | string[]>);

// 执行查询
await sequelize.query(`
  UPDATE feed_items SET tags = val.tags
  FROM (VALUES ${valuePlaceholders}) AS val(id, tags)
  WHERE feed_items.id = val.id
`, { replacements });

方式2：使用bindings参数绑定（更简洁）

const updateData = [
  { id: 'ddab8ce7-afa3-824f-7b65-edfb53a71764', tags: [] },
  { id: 'ece9f2fc-2a09-4a95-16ce-07293b0a14d2', tags: [] }
];

// 生成占位符与绑定数组
const bindings: (string | string[])[] = [];
const valuePlaceholders = updateData.map(() => `($${bindings.length + 1}, $${bindings.length + 2})`).join(', ');
updateData.forEach(item => {
  bindings.push(item.id);
  bindings.push(item.tags);
});

// 执行查询
await sequelize.query(`
  UPDATE feed_items SET tags = val.tags
  FROM (VALUES ${valuePlaceholders}) AS val(id, tags)
  WHERE feed_items.id = val.id
`, { bindings });

两种方式都会让Sequelize自动处理参数转义，彻底避免SQL注入风险。

内容的提问来源于stack exchange，提问作者PirateApp