PostgreSQL通过relid查询表及多表关联查询结果更新方案咨询

问题1：当前实现思路是否合理，有没有更简便的多表关联查询结果更新方案 #

你的思路技术上是可行的，但稳定性和可维护性不高，依赖PostgreSQL内部的对象ID（relid），如果后续表做了重建、迁移，relid会发生变化，会导致原有溯源逻辑失效，同时还要额外查询系统表增加开销。
更简便的方案如下：

• 后端提前维护可编辑字段和源表、源列、主键的映射配置，完全可控不需要依赖数据库元数据，示例配置如下：

const editableColumnMap = {
  channel: {
    table: 'channels', // 来源表名
    column: 'name', // 来源列名
    pkField: 'channel_id' // 该表的主键字段名
  },
  title: {
    table: 'programmes',
    column: 'title',
    pkField: 'programme_id'
  },
  series: {
    table: 'series',
    column: 'number',
    pkField: 'series_id'
  },
  episode: {
    table: 'episodes',
    column: 'episode_number',
    pkField: 'episode_id'
  }
}

• 修改原查询语句，把所有关联表的主键都加入查询字段，和业务字段一起返回给前端：

SELECT 
  channels.name as channel, 
  programmes.title as title, 
  series.number as series, 
  episodes.episode_number as episode,
  -- 额外返回各表主键，不展示给用户，仅用于修改操作溯源
  channels.channel_id,
  programmes.programme_id,
  series.series_id,
  episodes.episode_id
FROM programmes
INNER JOIN programme_channels ON programme_channels.programme_id = programmes.programme_id
INNER JOIN channels ON programme_channels.channel_id = channels.channel_id
INNER JOIN series ON programmes.programme_id = series.programme_id
INNER JOIN episodes ON series.series_id = episodes.series_id

• 前端修改数据时，把「被修改的字段名」「修改后的值」「对应主键值」三个参数传给后端，后端直接通过映射配置就能拼接出更新SQL，不需要额外查询系统表，性能更高也更稳定。

问题2：如果沿用当前思路，如何通过relid操作对应表 #

可以通过以下步骤实现：

1. 优先使用更稳定的系统表查询表名，替换你当前的pg_statio_user_tables查询，避免权限、schema导致的查询不到问题：

SELECT relname FROM pg_catalog.pg_class WHERE oid = $1

入参$1就是node-postgres返回的field.tableID值。
2. 拿到表名后，需要先做白名单校验，确认这个表是允许用户修改的表，避免SQL注入风险。
3. 动态拼接更新/删除SQL，对表名、列名使用pg包提供的escapeIdentifier方法做标识符转义（表名列名不能用参数占位符，必须手动转义防注入），示例代码如下：

const { Client, escapeIdentifier } = require('pg')
// 假设已经拿到字段对应的表名、列名、主键值、更新值
const tableName = 'programmes'
const columnName = 'title'
const pkField = 'programme_id'
const pkValue = 123
const updateValue = '新的节目名称'
// 构造SQL
const sql = `UPDATE ${escapeIdentifier(tableName)} 
             SET ${escapeIdentifier(columnName)} = $1 
             WHERE ${escapeIdentifier(pkField)} = $2`
// 执行查询
const client = new Client()
await client.query(sql, [updateValue, pkValue])

注意：动态拼接SQL必须做好白名单校验和标识符转义，避免出现SQL注入漏洞。

内容的提问来源于stack exchange，提问作者Paul Martin