2022年及以后Node.js向Neo4j发送CREATE语句的合规语法

旧代码报错的核心原因 #

• Neo4j 4.0版本开始正式废弃旧版{paramName}格式的参数占位符，2022年后主流使用的Neo4j 5.x+版本、配套官方Node.js驱动完全不兼容该语法，必须替换为$paramName格式的参数占位符
• 原Cypher语句存在语法错误：RETURN n:title写法无效，读取节点属性应使用n.title，如果需要返回完整节点直接写RETURN n即可
• 原代码逻辑存在缺陷：数据库异步操作还未执行完成，就会触发函数末尾的res.redirect('/')，同时异常场景下没有正确关闭session，会造成连接泄漏

合规写法示例 #

首先确保项目安装的是官方维护的neo4j-driver包（2022年后推荐使用5.x稳定版），接口代码参考如下：

app.post('/books/add', async function(req, res) {
  const session = driver.session();
  try {
    // 从表单请求体提取字段
    const { title, year } = req.body;
    // 执行Cypher语句，参数用$前缀标识
    const result = await session.run(
      'CREATE (n:Book {title: $bookTitle, year: $bookYear}) RETURN n',
      {
        bookTitle: title,
        // 表单传值默认是字符串类型，数字字段提前做类型转换
        bookYear: Number(year)
      }
    );
    // 如需读取创建完成的节点属性，可通过records字段获取
    const createdBook = result.records[0].get('n').properties;
    console.log('新建图书节点：', createdBook);
    res.redirect('/');
  } catch (error) {
    console.log('创建节点失败：', error);
    res.status(500).send('新建图书记录失败');
  } finally {
    // 无论执行成功或失败，都必须关闭session释放连接
    await session.close();
  }
});

简化写法 #

如果表单字段和节点属性名完全对应，可以直接传入对象批量赋值，不用逐个写属性映射：

app.post('/books/add', async function(req, res) {
  const session = driver.session();
  try {
    const { title, year } = req.body;
    const bookData = {
      title,
      year: Number(year)
    };
    await session.run(
      'CREATE (n:Book) SET n = $bookData RETURN n',
      { bookData }
    );
    res.redirect('/');
  } catch (error) {
    console.log('创建节点失败：', error);
    res.status(500).send('新建图书记录失败');
  } finally {
    await session.close();
  }
});

注意事项 #

• 所有动态传入的参数必须通过$占位符传递，严禁直接把用户输入拼接进Cypher字符串，否则会存在Cypher注入风险
• 表单提交的参数默认全为字符串类型，数字、布尔类属性要提前做类型转换，避免Neo4j中存储的属性类型不符合预期
• 不要在数据库异步操作完成前执行响应返回、session关闭逻辑，用async/await写法搭配finally块处理资源回收，比传统then链更不容易出逻辑漏洞

内容的提问来源于stack exchange，提问作者user11100667