使用mysql.format时，如何将空参数设为匹配任意值？

核心思路 #

不要硬写固定的WHERE条件，而是动态构建查询条件和参数数组：只有当用户输入的参数非空时，才将该参数的过滤条件加入查询语句，同时把参数值放入参数列表；空参数直接跳过，自然就不对该字段做限制，返回所有匹配其他有效条件的结果。

代码实现示例 #

// 初始化基础SQL、条件集合和参数集合
let baseSql = "SELECT * FROM sg_vod_database.vod_data";
let whereConditions = [];
let queryParams = [];

// 处理Player1参数
const player1 = req.query.Player1;
if (player1 && player1.trim() !== '') {
  whereConditions.push("Player1 = ?");
  queryParams.push(player1);
}

// 可扩展处理其他可选参数（比如Player2、GameType等）
const player2 = req.query.Player2;
if (player2 && player2.trim() !== '') {
  whereConditions.push("Player2 = ?");
  queryParams.push(player2);
}

// 拼接完整SQL
if (whereConditions.length > 0) {
  baseSql += " WHERE " + whereConditions.join(" AND ");
}

// 生成安全的参数化SQL
const safeSql = mysql.format(baseSql, queryParams);

为什么安全？ #

所有用户输入的参数都通过mysql.format的参数列表传递，不会直接拼接进SQL语句，完全避免了SQL注入风险；同时空参数不会生成对应的过滤条件，实现了“匹配任意值”的需求。

备选方案（单参数场景） #

如果只有少量可选参数，也可以用条件判断的方式直接写SQL，但灵活性不如动态构建：

const player1 = req.query.Player1 || '';
const safeSql = mysql.format(
  "SELECT * FROM sg_vod_database.vod_data WHERE Player1 = ? OR ? = ''",
  [player1, player1]
);

这种方式通过OR ? = ''实现空参数时匹配所有结果，但多参数叠加时SQL会变得冗长，推荐优先使用动态构建方案。

内容的提问来源于stack exchange，提问作者Adam Princiotta