如何使用node-postgres参数化查询实现WHERE子句可变数量组合条件

完全不需要使用存在注入风险的字符串值拼接，node-postgres配合PostgreSQL本身的特性，有两种成熟的安全实现方式：

方案1：动态生成参数占位符结构 #

核心逻辑是仅动态生成SQL的条件结构和参数占位符，所有实际筛选值全部走参数绑定，全程不会把用户传入的原始值拼接到SQL字符串中，从根源避免注入风险。
实现逻辑：

• 遍历传入的颜色-尺寸组合列表，为每一组组合生成(color = $n AND size = $n+1)格式的条件片段，占位符索引从1开始按顺序递增
• 把所有组合的颜色、尺寸值按顺序扁平化存入参数数组
• 把所有条件片段用OR拼接后放入WHERE子句，和参数数组一起传入查询方法
• 额外处理组合列表为空的边界情况，避免无WHERE条件导致全表扫描

代码示例：

// 动态传入的颜色-尺寸组合，长度任意
const filterPairs = [['red', 'small'], ['blue', 'medium']];
const params = [];
const conditionFragments = [];
let paramCursor = 1;

for (const [colorVal, sizeVal] of filterPairs) {
  conditionFragments.push(`(color = $${paramCursor} AND size = $${paramCursor + 1})`);
  params.push(colorVal, sizeVal);
  paramCursor += 2;
}

// 空列表直接返回空结果，避免全表扫描
const finalSql = conditionFragments.length
  ? `SELECT * FROM items WHERE ${conditionFragments.join(' OR ')}`
  : `SELECT * FROM items WHERE 1 = 0`;

// 执行参数化查询
const res = await pgClient.query(finalSql, params);

该方案和固定长度的参数化查询安全性完全一致，因为动态拼接的内容只有自增的数字索引和固定SQL关键字，没有任何用户可控的原始值。

方案2：利用PostgreSQL数组函数实现固定SQL查询 #

如果组合数量较多（比如上百组及以上），更推荐用PostgreSQL原生的unnest函数实现，全程不需要修改SQL结构，代码更简洁，查询性能也更稳定。
核心逻辑是把所有待匹配的颜色、尺寸分别整理成两个等长的数组，作为两个参数传入SQL，通过unnest把数组转换为临时的匹配行集合，用行构造器的IN语法完成匹配。
代码示例：

const filterPairs = [['red', 'small'], ['blue', 'medium']];
// 拆分出颜色数组和尺寸数组
const colorArr = filterPairs.map(item => item[0]);
const sizeArr = filterPairs.map(item => item[1]);

// SQL结构完全固定，不需要动态拼接
const fixedSql = `
  SELECT * FROM items
  WHERE (color, size) IN (
    SELECT * FROM unnest($1::varchar[], $2::varchar[])
  )
`;

// 空列表直接返回空结果即可
const res = filterPairs.length
  ? await pgClient.query(fixedSql, [colorArr, sizeArr])
  : { rows: [] };

注意使用时保证两个数组长度严格一致，数组的类型声明和表字段类型匹配即可。

安全提示 #

所有直接把用户传入的color/size值拼接到SQL字符串的方案都存在SQL注入风险，上述两种方案均未拼接用户传入的原始值，符合参数化查询的安全规范。

内容的提问来源于stack exchange，提问作者Max Stevens