MariaDB动态建表报ER_PARSE_ERROR错误1064，求解决方案

• 预编译占位符?仅支持绑定SQL中的值参数，无法用于绑定表名、字段名这类SQL标识符。使用?传递表名时，数据库会自动为传入内容添加单引号将其识别为字符串，最终生成CREATE TABLE ('insert')的非法语法。
• 你示例中用到的insert本身就是SQL保留关键字，就算直接拼接不加反引号包裹也会触发语法错误。

1. 放弃用?传递表名，改为手动拼接SQL，拼接前必须对用户输入的分类名做严格的安全校验，避免SQL注入风险：
   • 过滤用户输入中的特殊字符，仅允许字母、数字、下划线等合法字符
   • 可选操作：为所有分类表增加统一前缀（比如cat_），大幅降低命中SQL保留关键字的概率
   • 拼接时用反引号`包裹表名
2. 参考修复后代码：

// 表名安全处理函数
function getSafeTableName(rawName) {
  // 过滤非合法字符，可根据业务需求放开中文等字符限制
  const filteredName = rawName.replace(/[^a-zA-Z0-9_\u4e00-\u9fa5]/g, '');
  // 加固定前缀避免保留字冲突
  const prefixedName = `cat_${filteredName}`;
  // 反引号包裹作为SQL标识符
  return `\`${prefixedName}\``;
}

app.get("/", (req, res) => {
  res.send("Hello");
  const title = "insert"
  const safeTable = getSafeTableName(title);
  const sqlQuery = `CREATE TABLE ${safeTable} (
    \`user_key\` INT NOT NULL AUTO_INCREMENT,
    \`user_id\` VARCHAR(45) NULL,
    PRIMARY KEY (\`user_key\`)
  )`;
  connection.query(sqlQuery, (err, result) => {
    if(err) {
      console.log(err);
    } else {
      console.log("Good!");
    }
  })
});

如果业务允许，更推荐你用单表存储所有分类的数据，通过分类ID字段区分不同分类的内容，而不是动态建表：动态建表会导致数据结构分散，后续维护、统计、备份的成本都会高很多。

内容的提问来源于stack exchange，提问作者이태희