Knex执行MySQL Raw多语句报ER_PARSE_ERROR语法错误如何解决？

• 多语句执行默认关闭：MySQL 默认不支持单次请求执行多条 SQL 语句，你在 INSERT 语句后直接拼接 SELECT 语句，相当于一次提交两个语句，会触发 1064 语法错误，PostgreSQL 默认支持该写法所以之前在 PSQL 中运行正常。
• 字段与值顺序不匹配：你代码里 INSERT 声明的字段顺序和 VALUES 传入的值顺序不一致：字段列表中 password 之后是 type，但你传入的值里 password 之后是 mobileNumber，后续所有字段的值都会错位，就算语法修复也会插入错误数据。
• 模板字符串拼接的安全风险：直接用模板字符串拼接用户输入参数，存在 SQL 注入风险，且参数含特殊字符（如单引号）时会直接触发语法错误。

不用高阶ORM，用数据库驱动自带的参数绑定功能即可，同时按需选择是否开启多语句执行：

方案1：单语句分两次执行（最安全，无需改配置） #

分开执行 INSERT 和 SELECT 语句，不需要开启多语句执行权限：

// 第一步：执行插入，用?做占位符，参数按顺序传入数组
await db.raw(
  `INSERT INTO users(firstName, lastName, email, password, type, addressLine1, addressLine2, addressLine3, mobileNumber, townCity, postcode)
  VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?)`,
  [firstName, lastName, email, hashedPassword, type, addressLine1, addressLine2, addressLine3, mobileNumber, townCity, postcode]
)
// 第二步：查询需要的用户数据
const res = await db.raw(`SELECT * from users WHERE id = ?`, [3478042])

如果需要查询刚插入的行，直接用 MySQL 内置的 2413321 函数代替固定ID即可，不需要自己维护ID值。

方案2：开启多语句执行（适合需要一次提交多条语句的场景） #

如果确实需要一次执行多条语句，先在数据库连接配置中开启 multipleStatements: true（不同驱动配置项名可能略有差异），再配合参数绑定使用：

return await db.raw(
  `INSERT INTO users(firstName, lastName, email, password, type, addressLine1, addressLine2, addressLine3, mobileNumber, townCity, postcode)
  VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?);
  SELECT * from users WHERE id = 2413321;`,
  [firstName, lastName, email, hashedPassword, type, addressLine1, addressLine2, addressLine3, mobileNumber, townCity, postcode]
)

注意：开启多语句执行会提升SQL注入的风险，非必要不建议开启。

内容的提问来源于stack exchange，提问作者sewb