TypeORM查询中反引号模板字符串与冒号参数绑定的区别是什么

核心差异 #

• SQL注入风险差异：这是两种写法最本质的区别。模板字符串直接拼接参数的方式完全没有防注入能力，如果id是用户可控的输入，攻击者可以构造特殊字符篡改SQL语义，比如传入1' OR '1'='1就能绕过身份校验查询所有用户数据，极端场景下甚至会被拖库、删库。而冒号形式的参数绑定由TypeORM底层做参数转义处理，完全规避SQL注入风险。
• 查询性能差异：参数绑定生成的SQL结构固定，仅参数值不同，数据库可以对预编译的SQL执行计划做缓存，同类查询可以直接复用缓存提升执行效率。拼接字符串生成的SQL会随参数值变化，数据库无法复用缓存，高并发场景下性能差距会非常明显。
• 类型适配能力差异：参数绑定会自动匹配实体字段的类型做转换，比如数字、日期、JSON等特殊类型不需要手动格式化转义，直接传入对应类型的值即可，减少人工处理的出错概率。拼接写法需要开发者手动处理所有类型转换、格式适配，很容易出现类型不匹配、格式错误的问题。
• 特殊字符兼容性差异：如果参数本身包含单引号、反斜杠等SQL特殊字符，拼接写法会直接导致SQL语法报错，比如参数值为O'Neil时，拼接后的SQL会出现单引号闭合错误。参数绑定底层会自动转义特殊字符，不会触发语法问题。

使用注意事项 #

• 任何用户可控的参数绝对不要直接用模板字符串拼接，即便是自行做了转义处理也不推荐，很容易出现转义遗漏。
• 除了where语句外，set、having等所有需要传动态值的位置都可以用参数绑定，不要局限于查询条件场景。
• 多参数场景直接在参数对象中添加键值对即可，写法比字符串拼接更简洁，示例如下：

  .where("user.id = :id AND user.age > :age", { id: 1, age: 18 })
  

• 如果确实需要动态拼接SQL片段（比如动态选择查询字段、动态表名），这类无法通过参数绑定实现的场景，必须确保拼接的内容是代码内预设的枚举值，绝对不能让用户输入直接参与拼接。

内容的提问来源于stack exchange，提问作者JakeL91