Node.js + MySQL2插入变量问题求助：无法插入项目标题变量

你直接把变量名写入SQL语句，MySQL会将titleVariable视为字符串字面量而非变量的值，这就是插入失败的核心原因，同时这种写法还存在严重的SQL注入风险。

以下是两种标准的正确写法，基于mysql或mysql2模块：

方法1：使用占位符（?） #

这是最常用的方式，将变量放在数组中传入查询方法：

const mysql = require('mysql2');

// 初始化数据库连接
const connection = mysql.createConnection({
  host: '你的数据库主机',
  user: '数据库用户名',
  password: '数据库密码',
  database: '目标数据库名'
});

const titleVariable = "Project1";

// 用?作为变量占位符，变量通过第二个参数的数组传入
connection.query(
  'INSERT INTO projects (Title) VALUES (?)',
  [titleVariable],
  (err, results) => {
    if (err) throw err;
    console.log(`数据插入成功，插入的ID为: ${results.insertId}`);
    connection.end(); // 关闭连接
  }
);

方法2：使用命名占位符 #

如果需要更清晰的变量对应关系，可以开启命名占位符支持：

const mysql = require('mysql2');

const connection = mysql.createConnection({
  host: '你的数据库主机',
  user: '数据库用户名',
  password: '数据库密码',
  database: '目标数据库名',
  namedPlaceholders: true // 开启命名占位符功能
});

const titleVariable = "Project1";

// 用:title作为命名占位符，变量通过对象传入
connection.query(
  'INSERT INTO projects (Title) VALUES (:title)',
  { title: titleVariable },
  (err, results) => {
    if (err) throw err;
    console.log(`数据插入成功，插入的ID为: ${results.insertId}`);
    connection.end();
  }
);

参数化查询会自动处理字符串转义，既解决了变量插入的问题，又能彻底避免SQL注入攻击，是Node.js操作MySQL的推荐写法。

内容的提问来源于stack exchange，提问作者Danny