Lambda函数中执行带SET语法的MySQL多语句查询报ER_PARSE_ERROR错误如何解决

错误原因 #

• 核心配置缺失：你在handler内部重新创建数据库连接时，没有继承全局连接的multipleStatements: true配置，mysql模块默认禁止多语句执行，解析到SET语句后的分号就会触发语法错误。
• 变量转义误用：y是作为用户变量的名称使用，你用connection.escape()转义后会自动给值加单引号，拼接后生成@'xxx'=2的非法语法，escape()仅用于转义SQL值，不能用于转义表名、字段名、变量名这类标识符。
• JOIN语法不规范：INNER JOIN B, C的混写语法存在优先级隐患，虽然不是本次报错的直接原因，但建议统一使用JOIN写法避免隐式笛卡尔积问题。

修复方案 #

1. 给内部连接加上多语句执行配置
2. 动态变量名改用白名单校验替代escape转义，避免注入风险
3. 多语句执行后要从返回结果数组中取对应查询的结果

修复后代码示例：

const vandium = require('vandium');
var mysql = require('mysql');

exports.handler = vandium.generic()
    .handler((event, context, callback) => {
        // 动态变量名白名单，根据你的业务场景调整允许的取值
        const allowYList = ['y1', 'y2', 'y3'];
        const inputY = event.y?.trim();
        if (!allowYList.includes(inputY)) {
            return callback(new Error('非法参数y'));
        }

        var connection = mysql.createConnection({
            host: 'xjxj',
            user: 'xjxj',
            password: 'xjxj',
            database: 'xjxj',
            multipleStatements: true // 补上多语句执行配置
        });

        // 仅对值类型参数用escape转义
        const x = connection.escape(event.x);
        const z = connection.escape(event.z);
        // 动态拼接SQL，如果需要连续赋值直接修改SET部分即可
        const sql = `SET @${inputY}=2; SELECT DISTINCT A.j FROM A INNER JOIN B ON A.j = B.j INNER JOIN C ON C.x = ${x} AND C.y = ${connection.escape(inputY)} AND C.z = ${z}`;
        
        connection.query(sql, function (error, results, fields) {
            connection.destroy(); // 无论成功失败都销毁连接，避免连接泄漏
            if (error) {
                throw error;
            }
            callback(null, results[1]); // 多语句执行返回的结果是数组，第二个元素是SELECT的查询结果
        });
    });

内容的提问来源于stack exchange，提问作者ddb