Node.js mssql传参报错：必须声明@table变量的原因排查

SQL Server的参数化查询机制不支持用参数替换表名、列名这类数据库对象名称，只能用来替换查询中的值（比如WHERE子句的条件值、UPDATE的字段值）。你代码里的@table是作为表名使用的，通过sqlRequest.input()传入时，SQL Server会把它识别为一个未初始化的表变量，而非实际的表名，因此抛出“Must declare the table variable "@table"”错误。

不能用参数化方式处理表名，必须手动拼接，但一定要做严格的白名单校验避免SQL注入风险：

1. 预先定义允许访问的表名白名单
2. 校验传入的params.table是否在白名单内
3. 合法的话拼接表名到SQL语句，其他值（如requestStatus、requestId）仍用参数化方式传入

修改后的示例代码：

module.exports = {
    tdaas: async (query, params) => {
        try {
            console.log({query, params})
            // 定义允许访问的表名白名单
            const allowedTables = ['api_service_request', '可添加其他允许的表名'];
            if (params && !allowedTables.includes(params.table)) {
                throw new Error('不允许访问该表');
            }

            const connection = await tdaasSqlServer.connect(tdaasConfiguration())
            const sqlRequest = connection.request()
            
            let tdaasResponse;
            if (params != null) {
                // 替换查询语句中的@table为实际表名
                const processedQuery = query.replace('@table', params.table);
                sqlRequest.input('requestId', params.requestId);
                sqlRequest.input('requestStatus', params.requestStatus.toString());
                
                tdaasResponse = await sqlRequest.query(processedQuery);
            } else {
                tdaasResponse = await sqlRequest.query(query);
            }
            return tdaasResponse;
        } catch (error) {
            console.log(error)
            return error;
        } finally {
            tdaasSqlServer.close()
        }
    },
}

注意：绝对不能直接拼接未校验的用户输入到SQL中，否则会引发严重的SQL注入漏洞，白名单校验是必要步骤。

内容的提问来源于stack exchange，提问作者Michael Wegter