使用node-postgres参数化查询时单引号转义问题求助

问题根源 #

• 错误调用query方法：你直接使用pg.query，但node-postgres v8.8.0中pg模块本身并未暴露query方法，必须通过连接池实例（pool.query）或客户端实例（client.query）执行查询。直接调用pg.query会导致参数无法正确绑定，触发SQL语法错误。
• 手动转义单引号画蛇添足：参数化查询会自动处理字符串中的单引号转义，你手动将'替换为''后，参数值变为%let''s do it%——数据库会将这两个单引号视为字符串的实际内容，而非转义后的单个单引号，因此匹配不到存储的let's do it。

正确解决方案 #

1. 初始化连接池/客户端

先创建合法的数据库连接实例：

const pg = require('pg');
// 创建连接池（推荐生产环境使用）
const pool = new pg.Pool({
  user: '你的用户名',
  host: '你的主机地址',
  database: '你的数据库名',
  password: '你的密码',
  port: 5432, // PostgreSQL默认端口
});

// 或者创建单个客户端（适用于单次查询场景）
// const client = new pg.Client({ ... });
// await client.connect();

2. 正确使用参数化查询

无需手动转义，直接传递原始查询字符串：

const searchString = "%let's do it%";
// 用连接池执行查询（需await获取结果）
const res = await pool.query('SELECT name FROM folders WHERE name ILIKE $1', [searchString]);

// 输出匹配结果
console.log(res.rows);

拼接字符串成功的原因（不推荐） #

拼接字符串时，''在SQL语法中会被解析为单个转义单引号，最终执行的SQL等价于SELECT name FROM folders WHERE name ILIKE '%let's do it%'，因此能匹配到结果。但这种写法存在严重的SQL注入风险，禁止在生产环境使用。

内容的提问来源于stack exchange，提问作者Johan