如何用参数化查询更新SQL？解决列名单引号语法错误

这个问题的核心原因很明确：你试图用参数化查询来替代列名，但参数化查询的设计初衷是为了安全处理值——它会自动对参数进行转义并添加单引号，这就导致你的列名被当成了字符串字面量，而不是数据库的实际列，所以MariaDB才会报1064语法错误。

正确的解决思路 #

参数化查询无法处理列名这类SQL结构元素，我们需要手动拼接列名，但必须配合白名单校验来避免SQL注入风险，具体步骤如下：

1. 定义允许操作的列名白名单
   先列出所有允许被修改的列名，确保只有合法的列能被操作，从根源上防止恶意注入。

2. 校验传入的列名是否合法
   在拼接SQL之前，检查传入的colOne和colTwo是否在白名单内，如果不在直接返回错误。

3. 安全拼接列名并使用参数化处理值
   用反引号（）包裹列名（避免列名是关键字或含特殊字符的情况），值依然用参数化占位符?`来处理，兼顾语法正确性和安全性。

示例代码 #

// 第一步：定义允许操作的列名白名单，替换成你实际的列名
const allowedColumns = ['colName', 'age', 'status'];

// 第二步：获取并校验列名
const colOne = asset.getColOne();
const colTwo = asset.getColTwo();

if (!allowedColumns.includes(colOne) || !allowedColumns.includes(colTwo)) {
  return callback(new Error('Invalid column name provided'));
}

// 第三步：安全拼接SQL并执行
const sql = `UPDATE tableName SET \`${colOne}\` = ? WHERE \`${colTwo}\` = ?`;
db.query(sql, [asset.getValOne(), asset.getValTwo()], callback);

关键注意点 #

绝对不能跳过白名单校验直接拼接列名！如果这么做，攻击者可以传入恶意字符串（比如colName); DROP TABLE users; --`）引发SQL注入，直接破坏你的数据库。白名单校验是必不可少的安全防线。

内容的提问来源于stack exchange，提问作者Dynamis