Node.js批量插入时如何传递SQL空间函数ST_GeomFromGeoJSON

你的问题核心是当把ST_GeomFromGeoJSON()作为字符串值传入参数时，MySQL会将其视为普通字符串而非SQL函数执行，导致无法生成有效的GEOMETRY对象。以下是两种可靠的解决方法：

方法一：将函数调用写入SQL模板（推荐，更安全） #

把ST_GeomFromGeoJSON()直接整合到INSERT语句的VALUES模板中，仅将GeoJSON数据作为参数传入，避免驱动转义函数内容：

// 生成批量插入的占位符，每个条目对应 (name占位符, 函数调用+GeoJSON占位符)
const placeholders = geoMapList.map(() => '(?, ST_GeomFromGeoJSON(?, 2))').join(',');
const insertQuery = `INSERT INTO maps (name, geoMap) VALUES ${placeholders}`;

// 构造扁平化的参数数组：[name1, geoJson字符串1, name2, geoJson字符串2, ...]
const insertData = geoMapList.flatMap(geoMap => [
  geoMap.name,
  JSON.stringify(geoMap.map)
]);

// 执行查询
this.connection.query(insertQuery, insertData);

这种方式完全使用参数占位符，能有效防止SQL注入，是最安全的实现方式。

方法二：使用mysql2的Raw标记函数内容 #

通过mysql.raw()方法标记SQL函数部分，告诉驱动不要对这部分内容进行转义：

const mysql = require('mysql2'); // 或mysql2/promise

const insertQuery = `INSERT INTO maps (name, geoMap) VALUES ?`;
const insertData = [];

geoMapList.forEach((geoMap) => {
  // 用mysql.escape()处理GeoJSON字符串，避免注入风险
  const escapedGeoJson = mysql.escape(JSON.stringify(geoMap.map));
  // 用mysql.raw()标记函数调用，使其被MySQL解析为SQL代码
  insertData.push([
    geoMap.name,
    mysql.raw(`ST_GeomFromGeoJSON(${escapedGeoJson}, 2)`)
  ]);
});

this.connection.query(insertQuery, [insertData]);

注意：此方法需手动处理GeoJSON字符串的转义，务必使用mysql.escape()避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Deepesh Kumar