Lambda函数执行含SET语句的MySQL查询报ER_PARSE_ERROR错误如何解决

核心问题点 #

• 数据库连接未正确开启多语句支持：你在全局初始化连接时配置了multipleStatements: true，但handler函数内重新创建连接时没有携带这个参数，mysql库默认禁止执行多语句查询，直接传入带分号的两条SQL就会触发语法报错。
• 用户变量名被错误转义：你对event.y调用了connection.escape()，转义后的结果会自动包裹单引号，拼接成SET语句时会变成@'xxx'=2，不符合MySQL用户变量的命名语法。如果你是要动态指定变量名，不能对变量名做转义处理；如果是要给固定变量@y赋值，直接用参数绑定即可。
• JOIN语法不规范：你混用了显式INNER JOIN和隐式逗号连接，虽然部分MySQL版本兼容，但容易触发语法歧义，建议统一用显式JOIN+ON条件的写法。

修复后代码 #

const vandium = require('vandium');
var mysql = require('mysql');

exports.handler = vandium.generic()
    .handler((event, context, callback) => {
        // 新建连接时开启多语句支持
        var connection = mysql.createConnection({
            host: 'xjxj',
            user: 'xjxj',
            password: 'xjxj',
            database: 'xjxj',
            multipleStatements: true 
        });
        
        // 使用参数化查询避免手动拼接SQL，降低注入风险
        const sql = `
            SET @y = ?; 
            SELECT DISTINCT A.j 
            FROM A 
            INNER JOIN B ON A.j = B.j 
            INNER JOIN C ON C.x = ? AND C.y = @y AND C.z = ?
        `;
        const params = [event.y, event.x, event.z];
        
        connection.query(sql, params, function (error, results, fields) {
            if (error) {
                connection.destroy();
                throw error;
            } else {
                console.log(results);
                callback(null, results);
            }
        });
    });

如果确实需要动态生成用户变量名，必须先对变量名做白名单校验，禁止直接拼接用户输入的内容，避免SQL注入风险：

// 动态变量名白名单校验示例
const allowVarNames = ['y', 'k', 'custom_var'];
const inputVarName = event.varName;
if (!allowVarNames.includes(inputVarName)) {
    return callback(new Error('非法参数'));
}
const sql = `SET @${inputVarName} = ?; SELECT ...`

内容的提问来源于stack exchange，提问作者ddb