Nodejs+TypeORM栈下如何安全实现Postgres jsonb动态查询避免SQL注入

核心逻辑是完全依赖TypeORM的参数绑定机制传递用户输入值，所有动态条件的占位符由代码自动生成，不直接拼接任何用户可控内容到SQL语句中，彻底避免SQL注入风险。

类型定义 #

先定义筛选条件的TS类型，提前做类型校验：

// 筛选条件类型
interface ExperienceFilter {
  field: string;
  minYears: number;
}

方案1：QueryBuilder实现（推荐） #

QueryBuilder是TypeORM最灵活的查询构造方式，动态拼接条件非常方便：

import { User } from './entities/user.entity';
import { Repository } from 'typeorm';

// 示例：客户端传入的动态筛选条件
const filters: ExperienceFilter[] = [
  { field: 'devops', minYears: 5 },
  { field: 'java', minYears: 6 },
  { field: 'ui/ux', minYears: 2 }
];

// 注入UserRepository后执行查询
const userQuery = userRepository.createQueryBuilder('user');

// 动态叠加筛选条件
filters.forEach((filter, idx) => {
  userQuery.andWhere(
    `jsonb_path_exists(user.experience, '$[*] ? (@.field == :field_${idx} && @.years > :years_${idx})')`,
    {
      [`field_${idx}`]: filter.field,
      [`years_${idx}`]: filter.minYears
    }
  );
});

// 执行查询返回结果
const matchedUsers = await userQuery
  .limit(3)
  .getMany();

方案2：原生SQL参数化查询 #

如果需要直接写SQL语句，也可以用参数占位符实现安全查询：

import { EntityManager } from 'typeorm';

const whereParts: string[] = [];
const queryParams: (string | number)[] = [];

filters.forEach((filter, idx) => {
  // PostgreSQL的参数占位符从$1开始计数
  const fieldParamIdx = idx * 2 + 1;
  const yearParamIdx = idx * 2 + 2;
  whereParts.push(`jsonb_path_exists(experience, '$[*] ? (@.field == $${fieldParamIdx} && @.years > $${yearParamIdx})')`);
  queryParams.push(filter.field, filter.minYears);
});

const sql = `
  SELECT * FROM users
  ${whereParts.length ? `WHERE ${whereParts.join(' AND ')}` : ''}
  LIMIT 3
`;

const matchedUsers = await entityManager.query(sql, queryParams);

安全说明 #

两种方案所有用户输入的field和minYears都通过参数绑定传递，TypeORM/PostgreSQL会自动对参数做转义处理，不会将用户输入当作SQL语句的一部分执行，完全规避SQL注入风险。

内容的提问来源于stack exchange，提问作者Karan Kumar