构建含多个AND条件的ArangoDB复杂查询失败求助

问题描述 #

我尝试将键值对映射传入ArangoDB查询，通过多个AND条件实现c.key == value AND c.key == value这类逻辑，但运行时报错。

错误代码：

public async getCollectionsQuery(query: Record<any, any>): Promise<Record<any, any>[]> {
    const req = query["request"]
    const keys = Object.keys(req)
    if (keys.length) {
        let rules: string = "";
        for (const [key, value] of Object.entries(req)) {
            rules += "c." + key + " == \"" + value + "\" AND "
        }
        rules = rules.substring(0, rules.length - 5)
        let q = aql`
      FOR c IN ${this.mCollectionPtr}
        FILTER` + rules + `
        RETURN c
    `
        const cursor = await this.mDB.getDatabase().query(q)
        return await cursor.all();
    }
    return []
}

报错信息：

ArangoError: AQL: syntax error, unexpected [ near '[object Object]c.name == "d2382b...' at position 1:1 (while parsing)

而单键值对查询可以正常运行：

public async getCollectionItemsByValue(key: string, value: string): Promise<Record<any, any>> {
    let q = aql`
      FOR c IN ${this.mCollectionPtr}
        FILTER c.${key} == ${value}
        RETURN c
    `
    const cursor = await this.mDB.getDatabase().query(q)
    return await cursor.all();
}

修复方案 #

错误原因 #

直接把字符串rules和aql模板字符串拼接是核心问题——aql模板返回的是查询对象而非普通字符串，强行拼接会导致对象被转成[object Object]，这就是报错中出现该内容的原因。另外，手动拼接字符串还存在SQL注入风险，且处理含特殊字符的值时容易出错。

正确实现代码 #

利用aql模板的原生特性构建多条件过滤，通过循环生成单个条件后合并：

public async getCollectionsQuery(query: Record<any, any>): Promise<Record<any, any>[]> {
    const req = query["request"];
    const entries = Object.entries(req);
    
    if (entries.length === 0) {
        return [];
    }

    // 生成单个aql条件数组
    const filterConditions = entries.map(([key, value]) => 
        aql`c.${key} == ${value}`
    );

    // 用AND连接所有条件
    const combinedFilter = aql.join(filterConditions, " AND ");

    // 构建完整查询
    const q = aql`
        FOR c IN ${this.mCollectionPtr}
        FILTER ${combinedFilter}
        RETURN c
    `;

    const cursor = await this.mDB.getDatabase().query(q);
    return await cursor.all();
}

关键说明 #

1. aql.join()方法会安全处理条件拼接，自动完成语法校验和参数绑定，避免手动拼接的各种问题。
2. 每个过滤条件都通过aql模板生成，能正确转义特殊字符，同时杜绝注入攻击风险。
3. 完全遵循ArangoDB的aql模板规范，和单条件查询的正确逻辑保持一致。

内容的提问来源于stack exchange，提问作者Dariusz