Node.js连接PostgreSQL如何正确编写动态列参数化SELECT查询

PostgreSQL 参数化查询的 $n 占位符仅支持替换值类型参数，不能替换列名、表名这类标识符。
你当前执行的 SQL SELECT $1 FROM wallet WHERE user_id = $2; 传入 currency = 'USD' 时，数据库实际执行逻辑等价于：

SELECT 'USD' -- 这里是字符串常量，不是USD列
FROM wallet 
WHERE user_id = 123123;

这条 SQL 根本没有读取 USD 列的数据，只是固定返回你传入的字符串 'USD'，返回结果里的 ?column? 是数据库给无别名常量列自动生成的默认列名，和你看到的异常返回完全吻合。
你提到“不指定动态列名时可以正常查询全量余额”，本质是写SELECT * FROM wallet时没有动态标识符，参数化查询可以正常执行。

动态列名不能通过占位符传参，需要先做严格的白名单校验（避免SQL注入），再将合法列名拼入SQL，值类参数仍然保留占位符传参的方式。
修正后的函数代码：

// 先定义允许查询的币种列白名单，和wallet表的实际列保持一致
const ALLOWED_CURRENCY_COLUMNS = ['USD', 'EUR', 'GBP'];

async function getBalance(user_id, currency) {
    const pool = new Pool(credentials);
    // 校验传入的币种是否在白名单内，非法请求直接抛出错误
    if (!ALLOWED_CURRENCY_COLUMNS.includes(currency)) {
        await pool.end();
        throw new Error('Invalid currency parameter');
    }
    // 校验通过后拼接列名，user_id仍然走参数化传参
    const querySql = `SELECT "${currency}" FROM wallet WHERE user_id = $1;`;
    const res = await pool.query(querySql, [user_id]);
    console.log(res.rows);
    await pool.end();
    return res.rows;
}

注意事项 #

• 白名单校验是必须的，禁止直接把前端传入的currency参数未经校验拼入SQL，否则会存在SQL注入风险
• 拼接列名时用双引号包裹列名，兼容大小写敏感、含特殊字符的列名场景
• 查询条件中的user_id必须继续使用参数占位符传参，不要拼接值

你当前每次调用函数都新建连接池、查询完成后立即销毁的写法性能很差。连接池应该在服务启动时全局初始化一次，所有数据库查询复用同一个连接池实例，仅在服务进程退出时统一关闭连接池。
优化后的连接初始化逻辑：

// 全局初始化一次连接池，不要在函数内重复创建
const globalPool = new Pool(credentials);

const ALLOWED_CURRENCY_COLUMNS = ['USD', 'EUR', 'GBP'];

async function getBalance(user_id, currency) {
    if (!ALLOWED_CURRENCY_COLUMNS.includes(currency)) {
        throw new Error('Invalid currency parameter');
    }
    const querySql = `SELECT "${currency}" FROM wallet WHERE user_id = $1;`;
    const res = await globalPool.query(querySql, [user_id]);
    return res.rows;
}

// 进程退出时统一关闭连接池
process.on('exit', () => {
    globalPool.end();
});

内容的提问来源于stack exchange，提问作者Ged0jzn4