如何检查SQL列中值是否存在？实现存在不插入的Node.js方案

核心问题分析 #

原有实现直接拼接SQL执行INSERT，存在两个关键问题：

1. SQL注入风险：直接拼接用户输入的时间值，易被恶意构造的字符串攻击。
2. 无重复校验：未检查目标时段是否已有会议，导致重复插入或无意义报错。

解决方案需同时解决这两个问题，且保证并发场景下的数据一致性。

步骤1：数据库层面添加唯一约束 #

先给meetings表的时间字段（假设字段名为meeting_time）添加唯一索引，从数据库层面杜绝重复数据：

ALTER TABLE meetings ADD UNIQUE INDEX idx_meeting_time (meeting_time);

该索引会强制meeting_time字段值唯一，并发插入时数据库会自动拦截重复请求。

步骤2：Node.js安全实现（推荐方案） #

使用参数化查询避免SQL注入，同时捕获数据库的重复键错误返回指定提示。以下示例基于mysql2的Promise API：

async function addNewMeeting(meetingTime) {
  try {
    // 参数化查询：用?占位符代替直接拼接输入
    const [result] = await db.execute(
      'INSERT INTO meetings (meeting_time) VALUES (?)',
      [meetingTime]
    );
    return { success: true, message: '会议插入成功' };
  } catch (err) {
    // MySQL重复键错误码为ER_DUP_ENTRY（对应错误编号1062），其他数据库需调整判断逻辑
    if (err.code === 'ER_DUP_ENTRY') {
      return { success: false, message: '该时段已有会议，无法插入' };
    }
    // 其他错误抛出或统一处理
    throw err;
  }
}

方案优势 #

• 性能高效：无需额外查询，直接利用数据库约束完成校验。
• 并发安全：数据库层面保证重复插入不会成功，避免多请求同时插入重复数据。
• 防注入：参数化查询自动转义用户输入，彻底规避SQL注入风险。

备选方案：先查询再插入（复杂校验场景） #

如果需要在插入前做更多自定义校验，可使用事务+排他查询保证并发安全：

async function addNewMeeting(meetingTime) {
  const connection = await db.getConnection();
  try {
    // 开启事务
    await connection.beginTransaction();
    
    // 排他查询：锁定该行防止并发修改
    const [rows] = await connection.execute(
      'SELECT 1 FROM meetings WHERE meeting_time = ? FOR UPDATE',
      [meetingTime]
    );
    
    // 检查是否存在该时段会议
    if (rows.length > 0) {
      await connection.rollback();
      return { success: false, message: '该时段已有会议，无法插入' };
    }
    
    // 插入新会议
    await connection.execute(
      'INSERT INTO meetings (meeting_time) VALUES (?)',
      [meetingTime]
    );
    
    await connection.commit();
    return { success: true, message: '会议插入成功' };
  } catch (err) {
    // 回滚事务
    await connection.rollback();
    throw err;
  } finally {
    // 释放数据库连接
    connection.release();
  }
}

注意事项 #

• 必须配合事务+FOR UPDATE锁，否则并发请求可能绕过查询校验导致重复插入。
• 性能略低于第一种方案，适合需要多条件校验的场景。

内容的提问来源于stack exchange，提问作者Itay999