使用Prisma根据HTTP请求参数查询指定表前100行报错求助

问题原因 #

你遇到的42601语法错误，是因为$queryRawUnsafe模板字符串中的${collection}被Prisma处理成了SQL参数占位符（即$1），但SQL语法规定表名、列名这类标识符不能使用参数占位符，必须直接写入SQL语句中，因此导致解析报错。

解决方案 #

1. 先做表名白名单校验（必须步骤） #

直接拼接表名存在SQL注入风险，所以首先要验证传入的表名是数据库中合法存在的表。比如维护一个允许查询的表名单：

// 替换为你数据库中实际存在的表名
const allowedTables = ['users', 'posts', 'products'];

if (!allowedTables.includes(collection)) {
  throw new Error('不允许查询该表');
}

2. 直接拼接表名到SQL语句 #

通过字符串拼接的方式将表名写入SQL，同时用数据库对应的标识符包裹符（PostgreSQL用双引号，MySQL用反引号）处理表名中的特殊字符：

// PostgreSQL 写法
let rows = await prisma.$queryRawUnsafe(`SELECT * FROM "${collection}" LIMIT 100`);

// MySQL 写法（用反引号）
// let rows = await prisma.$queryRawUnsafe(`SELECT * FROM \`${collection}\` LIMIT 100`);

这样Prisma会将拼接后的完整SQL直接发送给数据库执行，不会把表名当成参数占位符，就能避免语法错误，同时白名单校验也能有效防范SQL注入风险。

内容的提问来源于stack exchange，提问作者DRE