DynamoDB PartiQL SELECT使用请求参数查询Map键的问题

DynamoDB PartiQL 不支持在 SELECT 子句的属性路径表达式中使用 ? 占位符传入动态键名。
PartiQL的?参数占位符仅支持用于传入值类型的参数，比如WHERE子句中的匹配值、UPDATE语句中的更新值，不能用来替换属性名、Map键名这类路径标识符，因此你尝试的两种在路径中嵌入占位符的写法都会触发语法校验错误，返回你看到的两类报错。

• 方案1：应用层提取目标值（最推荐，无注入风险）
  直接编写合法的参数化语句，查询时拉取整个mapWithData属性，拿到结果后在业务代码中根据传入的动态键提取需要的字段，语句示例：

  SELECT "mapWithData" FROM "some-table" WHERE "userId" = ?
  

  这个方案完全使用参数化查询，不存在注入风险，且不会额外增加读容量消耗——DynamoDB读取项的容量计算基于读取的整个项大小，读取整个mapWithData属性和读取其中单个嵌套键的容量开销完全一致。在NoSQL Workbench中测试时，只需要将用户ID作为参数传入即可正常执行。
• 方案2：白名单校验后安全拼接路径（仅适用于键范围固定场景）
  如果mapWithData下的键是固定可枚举的有限集合，可以先对传入的键参数做严格白名单校验，确认参数值属于合法键范围后，再将键名拼接到查询路径中，仅将用户ID作为占位符参数传入。
  注意：该方案必须做严格的白名单匹配，禁止直接将未校验的用户输入拼接到语句中，否则会产生PartiQL注入风险
• 方案3：调整数据模型适配高频查询
  如果这类按Map内动态键取值的场景是核心高频查询，可以调整表结构：将原mapWithData下的每个嵌套键值对拆分为独立条目，以userId作为分区键，原Map的键作为排序键，neededVal、name作为顶层属性存储。调整后查询可以直接使用双参数占位符精准匹配，完全不需要动态拼接路径。

内容的提问来源于stack exchange，提问作者Francis Bartkowiak