Node.js参数化SQL如何向?占位符注入table.column格式条件

你用的?是数据库驱动实现的值占位符，仅用来替换查询中的字面量值（比如字符串、数字参数），驱动会自动对传入的内容做转义、包裹引号处理，不支持替换列名、表名、条件表达式这类SQL语法结构。
你把contacts.userID = users.id这类关联条件作为值传给?时，驱动会把整个内容当成普通字符串转义，最终生成的SQL会变成类似WHERE 'contacts.userID = users.id' AND contactType='other'的结构，条件位置是个字符串而非逻辑表达式，自然会触发语法错误。

不需要硬编码静态表名、列名的前提下，有几种安全可落地的方案：

• 使用驱动自带的标识符转义方法，安全拼接动态条件
  不要把关联逻辑塞到值占位符里，动态传入的表名、列名先经过驱动提供的标识符转义函数处理，从根源避免SQL注入，再把拼接好的安全条件片段嵌入SQL，字面量值的部分依然保留?占位符传参即可。
  以常用的mysql2驱动为例，用内置的escapeId方法处理标识符：

  const mysql = require('mysql2');
  // 关联关系可动态从配置传入，无需硬编码在SQL字符串中
  const joinRule = {
    leftTable: 'contacts',
    leftKey: 'userID',
    rightTable: 'users',
    rightKey: 'id'
  };
  // 对所有表名、列名做转义，再拼接关联条件
  const joinCondition = [
    `${mysql.escapeId(joinRule.leftTable)}.${mysql.escapeId(joinRule.leftKey)}`,
    '=',
    `${mysql.escapeId(joinRule.rightTable)}.${mysql.escapeId(joinRule.rightKey)}`
  ].join(' ');
  // 组装最终SQL，值参数依然走占位符
  const finalSql = `SELECT fullName, contacts.email FROM contacts, users WHERE ${joinCondition} AND contactType = ?`;
  // 执行查询，仅传字面量值给占位符
  db.query(finalSql, ['other'], (err, result) => {
    // 处理查询结果
  });
  

• 借助查询构造器自动处理转义
  如果不想手动写转义逻辑，可以用轻量SQL查询构造器（比如knex），这类工具已经封装好了全场景的标识符转义逻辑，支持动态传入表名、列名、关联规则，不需要硬编码SQL片段：

  const knex = require('knex')({ client: 'mysql2' });
  // 关联字段、表名都可以动态配置传入
  const query = knex('contacts')
    .join('users', dynamicJoinLeft, '=', dynamicJoinRight)
    .select('fullName', 'contacts.email')
    .where('contactType', 'other')
    .toSQL();
  // 直接拿生成的SQL和参数执行即可，工具已经完成了安全转义
  

• 使用驱动支持的原始片段/标识符占位符
  部分数据库驱动提供了专门的标识符、SQL片段占位符，不会对传入内容做值转义。比如mysql2支持用??作为标识符占位符，pg-promise支持$/片段名/的语法注入安全SQL片段。注意这类方式必须严格对传入的动态内容做转义校验，绝对不能直接传入未处理的用户可控内容，否则会存在SQL注入风险。

注意：不要直接用字符串拼接的方式把未转义的动态表名、列名插入SQL，会直接导致SQL注入漏洞，所有动态传入的标识符都必须经过专门的转义处理。

内容的提问来源于stack exchange，提问作者Shaun Evans