如何使用VTL Velocity在AWS解析器中创建SQL可用的VALUES数组？

你遇到的问题主要出在变量引用和SQL格式拼接上，咱们一步步来修正：

原代码的核心问题 #

1. 变量引用错误：'item.item_image_id' 里漏了 $ 符号，应该是 '$item.item_image_id'，否则会把字符串字面量直接插入，而不是取变量的实际值。
2. 格式不匹配SQL语法：直接把数组 $inserts 拼到SQL里时，Velocity会将数组转成类似 [['val1','val2'], ['val3','val4']] 的格式，这不符合SQL的VALUES子句要求（正确格式应为 (val1,val2), (val3,val4)）。

修正后的可行实现 #

下面是能正常工作的代码，还加入了SQL注入防护的最佳实践：

#set( $valueTuples = [] )
#foreach ( $item in $ctx.args.input.listItems)
  #set( $escapedId = $util.escapeSql($item.item_id) )
  #set( $escapedName = $util.escapeSql($item.item_name) )
  #set( $escapedImageId = $util.escapeSql($item.item_image_id) )
  #set( $tuple = "('$escapedId', '$escapedName', '$escapedImageId')" )
  $util.qr($valueTuples.add($tuple))
#end
#set( $sql = "INSERT INTO items (item_id, item_name, item_image_id) VALUES $valueTuples.join(', ')" )

代码细节说明 #

• SQL注入防护：用 $util.escapeSql() 转义每个变量中的特殊字符（比如单引号、分号等），避免恶意输入破坏SQL语句或引发安全风险，这是AWS解析器中的重要安全实践。
• 正确格式化元组：每个循环中构建一个符合SQL要求的元组字符串（例如 ('1', 'apple', 'img_001')），再添加到数组中。
• 拼接生成合法SQL：最后用 .join(', ') 将数组内的元组用逗号连接，生成的SQL会是标准的批量插入格式，比如：

  INSERT INTO items (item_id, item_name, item_image_id) VALUES ('1', 'apple', 'img_001'), ('2', 'banana', 'img_002')
  

内容的提问来源于stack exchange，提问作者alionthego