我帮你梳理下问题核心，再给出完整的修复方案和解释：

问题根源 #

你遇到的报错本质是没有按照SQL Server的语法正确声明输出参数，再加上直接拼接SQL字符串的写法不仅容易出错，还存在SQL注入风险，同时async函数嵌套回调的写法也导致返回值无法正确传递给调用方。

修复后的完整代码 #

'use strict';
module.exports = function (Person) {
  const server = require('../../server/server');
  const ds = server.dataSources.MSSQL_DB;

  Person.newUser = async function (firstname, lastname, phonenumber, emailaddress) {
    try {
      // 使用参数化查询，避免SQL注入，同时正确声明输出参数
      const result = await ds.connector.execute(
        `EXEC dbo.usp_CreateUser 
          @FirstName = @firstname, 
          @LastName = @lastname, 
          @PhoneNumber = @phonenumber, 
          @EmailAddress = @emailaddress, 
          @UserIdOutputParam = @userId OUTPUT`,
        {
          firstname: { type: 'NVARCHAR', value: firstname },
          lastname: { type: 'NVARCHAR', value: lastname },
          phonenumber: { type: 'BIGINT', value: phonenumber }, // 请根据实际字段类型调整
          emailaddress: { type: 'NVARCHAR', value: emailaddress },
          userId: { type: 'INT', output: true } // 声明为输出参数，类型匹配存储过程的输出类型
        }
      );

      // 从输出参数中提取返回的UserID
      const createdUserId = result.output.userId;
      console.info("成功创建用户，ID:", createdUserId);
      return createdUserId;
    } catch (err) {
      console.error("创建用户失败:", err);
      throw err; // 抛出错误让LoopBack自动处理客户端响应
    }
  };

  Person.remoteMethod('newUser', {
    accepts: [
      { arg: 'firstname', type: 'string', required: false },
      { arg: 'lastname', type: 'string', required: false },
      { arg: 'phonenumber', type: 'number', required: false },
      { arg: 'emailaddress', type: 'string', required: false }
      // 移除useridoutputparam，它是输出参数，不需要客户端传入
    ],
    http: { path: '/newUser', verb: 'post' },
    returns: { arg: 'userId', type: 'number', root: true } // 调整返回值类型为存储过程实际返回的类型
  });
};

关键修复点说明 #

1. 替换SQL字符串拼接为参数化查询

   • 用命名参数传递值，彻底避免SQL注入风险，同时参数声明更清晰。
   • 输出参数必须在SQL语句中加上OUTPUT关键字，并且在参数配置里设置output: true，这是SQL Server识别输出参数的核心语法。

2. 用Async/Await优化异步逻辑

   • 摒弃回调嵌套，用async/await让异步代码更易读，同时能正确将结果返回给远程方法的调用方，错误也能统一捕获抛出。

3. 调整远程方法配置

   • 移除accepts中的useridoutputparam，因为它是存储过程的输出参数，不需要客户端传入。
   • 修改returns的类型为number（如果你的UserID是字符串类型就改成string），并设置root: true让返回值直接作为响应主体返回给客户端。

4. 正确获取输出参数值

   • 执行完存储过程后，从result.output对象中可以直接拿到输出参数的值，这里就是我们需要的创建后的用户ID。

额外注意事项 #

• 请根据你SQL Server数据库中实际的字段类型，调整参数的type（比如NVARCHAR的长度、INT/BIGINT等），确保和存储过程的参数类型完全匹配。
• 只要当前输出参数正确传递，存储过程内部调用usp_CreatePhone和usp_CreateEmail时的外键关联就能正常工作。

内容的提问来源于stack exchange，提问作者Manny Lornu