Node.js pg模块如何实现动态字段的安全参数化查询

你原来的写法不生效，核心原因是pg模块的参数化占位符$N仅支持替换SQL中的字面量值（比如查询条件里的字符串、数字），不能替换列名、表名这类SQL标识符。
你写的WHERE $1 = $2实际执行时，会把传入的字段名当成普通字符串处理，等价于执行WHERE 'email' = 'tst@tst.com'，逻辑完全错误，自然拿不到正确结果。

两种方案都不需要无防护拼接SQL，完全规避SQL注入风险，同时满足单函数支持多字段查询的需求。

方案1：白名单校验+官方标识符转义（推荐，维护成本低） #

核心思路是：列名因为无法通过参数占位符传递，所以先通过白名单限制合法字段范围，再用pg官方提供的标识符转义方法处理列名后嵌入SQL，查询值仍然走参数化绑定，安全等级和纯参数化一致。

const pg = require('pg');
// 提前定义所有允许作为查询条件的字段白名单
const ALLOWED_FIELDS = new Set(['id', 'username', 'phone', 'email']);
const db = /* 你的pg连接实例 */;

async function getUserBy(fields) {
  const keys = Object.keys(fields);
  // 校验入参格式，确保仅传入单个键值对
  if (keys.length !== 1) throw new Error('查询参数仅支持单个键值对');
  const field = keys[0];
  const value = fields[field];

  // 非法字段直接拦截，避免无效请求和注入风险
  if (!ALLOWED_FIELDS.has(field)) throw new Error(`不支持查询字段：${field}`);

  // 用官方方法转义列名标识符，彻底避免特殊字符导致的语法问题或注入
  const escapedField = pg.escapeIdentifier(field);
  const sql = `SELECT * FROM "Users" WHERE ${escapedField} = $1`;

  const result = await db.query(sql, [value]);
  return result.rows[0];
}

这个方案后续要新增支持的查询字段，只需要往ALLOWED_FIELDS集合里加字段名即可，不需要修改SQL逻辑。

方案2：纯参数化CASE WHEN写法（零SQL拼接） #

如果你希望完全不做SQL字符串拼接，可以把字段判断逻辑放到SQL内部用CASE WHEN实现，所有入参全部走占位符传递：

const ALLOWED_FIELDS = new Set(['id', 'username', 'phone', 'email']);
const db = /* 你的pg连接实例 */;

async function getUserBy(fields) {
  const keys = Object.keys(fields);
  if (keys.length !== 1) throw new Error('查询参数仅支持单个键值对');
  const field = keys[0];
  const value = fields[field];

  if (!ALLOWED_FIELDS.has(field)) throw new Error(`不支持查询字段：${field}`);

  const sql = `
    SELECT * FROM "Users"
    WHERE
      CASE $1
        WHEN 'id' THEN id = $2
        WHEN 'username' THEN username = $2
        WHEN 'phone' THEN phone = $2
        WHEN 'email' THEN email = $2
      END
  `;

  const result = await db.query(sql, [field, value]);
  return result.rows[0];
}

这个方案没有任何动态拼接的SQL部分，安全冗余度最高，缺点是新增查询字段时需要同步修改SQL里的CASE分支。

绝对不要跳过白名单校验直接把传入的字段名拼到SQL里，否则会存在SQL注入风险，比如恶意传入构造过的字段名可能执行删表等恶意操作。

内容的提问来源于stack exchange，提问作者MrR3set