Node.js中PostgreSQL动态插入函数创建问题求助

嘿，我来帮你搞定这个问题！你的代码现在遇到两个主要问题：变量未定义的语法错误，还有严重的SQL注入风险，咱们一个个来解决：

1. 先解决「my_table is not defined」的报错 #

你调用insert(my_table, 3, fname, Karees)的时候，my_table、fname、Karees这些都是字符串字面量，但你没加引号，JavaScript会把它们当作变量去查找，而你根本没定义这些变量，所以就抛出了ReferenceError。

正确的调用方式应该给字符串参数加上引号：

insert('my_table', 3, 'fname', 'Karees')

2. 替换不安全的字符串拼接，用参数化查询防SQL注入 #

直接把动态值拼接到SQL语句里是非常危险的，很容易被黑客利用SQL注入攻击篡改你的数据库。PostgreSQL的Node.js客户端（比如pg模块）支持参数化查询，用占位符代替直接拼接值，既安全又能避免字符串转义的问题。

修正后的完整代码示例 #

我给你改成更清晰的async/await写法（比回调更易读），同时修复所有问题：

// 假设你已经正确初始化了client（来自pg模块）
async function run() {
  try {
    // 通用插入函数：支持多字段，用参数化查询
    async function insert(table, fields, values) {
      // 生成占位符：$1, $2, ..., $n
      const placeholders = values.map((_, index) => `$${index + 1}`).join(', ');
      // 生成字段列表字符串
      const fieldList = fields.join(', ');
      const query = `INSERT INTO ${table} (${fieldList}) VALUES (${placeholders})`;
      
      // 执行参数化查询：第二个参数是值的数组，客户端自动处理安全转义
      const res = await client.query(query, values);
      console.log('插入成功:', res);
    }

    // 调用函数：字段名传数组，值传数组（支持任意数量的字段/值，更灵活）
    await insert('my_table', ['id', 'fname'], [3, 'Karees']);
  } catch (err) {
    console.error('插入出错:', err);
  } finally {
    // 最后统一关闭客户端连接，避免资源泄漏
    await client.end();
  }
}

// 执行run函数，统一捕获全局错误
run().catch(err => console.error(err));

代码说明 #

• 参数化查询：用$1、$2这样的占位符代替直接拼接值，值通过第二个参数数组传递，客户端会自动处理转义和安全验证，彻底避免SQL注入。
• 更灵活的函数：改成接受字段数组和值数组，这样你可以插入任意数量的字段，不用每次修改函数逻辑。
• async/await：避免回调嵌套，同时统一处理错误和连接关闭，解决了你遇到的UnhandledPromiseRejectionWarning警告。

为什么原来的拼接方式不安全？ #

举个极端例子，如果value是'); DROP TABLE my_table; --，直接拼接的话会生成恶意SQL，直接删掉你的表！而参数化查询会把这个值当作普通字符串处理，不会执行恶意代码。

现在你运行修正后的代码，应该就能正常插入数据，也不会有报错啦！

内容的提问来源于stack exchange，提问作者ajfe225