使用Express向MSSQL插入带变量数据并规避SQL注入问题求助

核心错误点 #

• 参数化查询语法错误：MSSQL中调用预定义参数需要加@前缀，你当前SQL语句里VALUES (id,first_name,last_name,active)的写法会被数据库识别为调用同名字段的值，而非你绑定的参数，所以会抛出「字段不存在」的报错。
• 异步操作未加await：request.query是异步方法，你没有等待执行完成就进入下一轮循环/返回响应，会触发未处理的Promise异常，也会导致报错逻辑不生效。
• 数据库连接复用错误：循环内反复创建连接会极大浪费性能，且没有做连接释放逻辑，容易触发连接池溢出。
• 响应逻辑错误：循环内直接返回响应/设置状态码，会出现重复设置响应头的问题，也无法保证所有数据都插入完成后再返回结果。

修复后代码 #

app.post('/addUser', addUser)

async function addUser(req, res) {
    let pool;
    try {
        // 全局只创建一次连接
        pool = await sql.connect(config);
        const bodylength = req.body.length;

        // 批量处理所有插入请求
        for (let index = 0; index < bodylength; index++) {
            const id = req.body[index].id;
            const first_name = req.body[index].first_name;
            const last_name = req.body[index].last_name;
            const active = switchToBool(req.body[index].active);
            
            const request = pool.request();
            // 你当前的参数绑定逻辑本身就可以完全规避SQL注入风险，无需额外调整
            request.input('id', sql.Int, id)
            request.input('first_name', sql.VarChar(50), first_name);
            request.input('last_name', sql.VarChar(50), last_name);
            request.input('active', sql.Bit, active);

            // 加await等待执行完成，SQL中参数加@前缀调用
            await request.query(`INSERT INTO test (Id, first_name, last_name, active) VALUES (@id, @first_name, @last_name, @active)`)
        }

        // 所有插入完成后再返回成功响应
        return res.status(200).send('插入成功');
    } catch (error) {
        // 任意环节出错统一返回错误
        return res.status(500).send(error)
    } finally {
        // 最后关闭连接释放资源
        if (pool) await pool.close();
    }
}

额外优化建议 #

• 如果插入的数据量较大，可以改用 bulk 批量插入API，减少和数据库的交互次数，性能提升明显。
• 建议提前校验req.body的结构合法性，避免传入非法值导致插入失败。

内容的提问来源于stack exchange，提问作者Jinkle