Node.js中使用条件变量动态修改MS SQL查询语句的正确语法

核心遵循原则：参数化所有用户输入 + 动态部分用预定义枚举值控制，只要动态拼接的SQL片段是代码中预先定义的常量，没有直接拼接用户输入内容，就不会存在SQL注入风险，是官方推荐的合法用法。

推荐实现方案（性能最优，易维护） #

你当前的实现思路是正确的，可进一步优化掉冗余的if/else分支，提升可维护性：

// @route   GET /api/flow/data/references
async function getDataReferences(req, res) {
  const { station, type } = req.query
  // 用对象映射预定义type和列名的对应关系，后续新增类型只需修改这个对象
  const stationColumnMap = {
    1: 'Station_1',
    2: 'Station_2',
    3: 'Station_3'
  }
  // 兜底默认值，避免传入非法type导致SQL语法错误
  const targetColumn = stationColumnMap[type] || stationColumnMap[3]

  const query = `
    SELECT Reference
    FROM TABLE 
    WHERE Status = 'Done' 
      AND ${targetColumn} = @station
      AND Process = 5
  `

  let pool
  try {
    pool = await sql.connect(config)
    const { recordset } = await pool
      .request()
      .input('station', sql.NVarChar(50), station)
      .query(query)

    const processedData = recordset.map((item) => item.Reference)
    res.json(processedData)
  } catch (error) {
    console.log(
      `ERROR with Station: ${station} with Type: ${type}`,
      error.message,
      new Date()
    )
    res.status(500).json({ message: error.message })
  } finally {
    await pool?.close() // 增加可选链避免pool初始化失败时报错
  }
}

该方案优势：

• 动态拼接的只有列名，列名是预定义枚举值完全可控，无SQL注入风险
• 生成的SQL语句可以命中对应Station列的索引，查询性能远高于SQL层面的条件判断
• 代码结构更简洁，后续新增type无需修改逻辑分支，仅更新映射对象即可

可选无拼接方案（适合小表场景） #

如果不想拼接SQL，也可以用SQL原生CASE表达式实现完全静态的查询语句：

const query = `
  SELECT Reference
  FROM TABLE 
  WHERE Status = 'Done' 
    AND CASE @type
      WHEN 1 THEN Station_1
      WHEN 2 THEN Station_2
      ELSE Station_3
    END = @station
    AND Process = 5
`
// 调用时多绑定一个type参数即可
const { recordset } = await pool
  .request()
  .input('station', sql.NVarChar(50), station)
  .input('type', sql.Int, type)
  .query(query)

该方案优缺点：

• 优点：完全不需要拼接SQL，语句固定
• 缺点：CASE表达式会导致无法命中单个Station列的索引，数据量较大时查询性能会明显下降

标签模板失效原因说明 #

你之前尝试直接在query标签模板中插值失效是正常现象：mssql的标签模板语法会自动把所有模板插值当作参数值转义处理，你插值的是SQL语法片段而非参数值，自然会被转义为普通字符串导致执行失败。动态拼接SQL场景下直接使用普通字符串模板传入query()方法即可，只要保证用户输入全部通过.input()绑定参数即可保证安全。

内容的提问来源于stack exchange，提问作者Ben in CA