Sequelize使用复杂密码时报错Named bind parameter "$123"无对应值如何解决？

报错根因 #

Sequelize默认支持命名绑定参数语法，会将SQL语句中所有$开头的字符串识别为预定义参数占位符，需要对应传值才能执行。当你的复杂密码包含$+数字/字母的组合（比如$123Abc）时，如果密码没有通过正确的参数绑定逻辑传递，Sequelize会把密码内的$xxx片段误判为绑定参数，找不到对应赋值就抛出该错误。

定位步骤 #

• 排查报错对应的数据库操作代码，确认密码字段是否被直接拼接进了SQL语句，没有走Sequelize的参数传递规则
• 打印触发报错的密码内容，确认是否包含$开头的子串，和报错信息中的$xxx内容是否一致

修复方案 #

方案1：使用官方参数绑定逻辑（优先推荐） #

所有动态值（包括密码）不要直接拼接进SQL字符串，统一通过Sequelize提供的replacements或者参数对象传递，框架会自动处理特殊字符转义，完全避免该问题。
普通Model查询无需特殊调整，正常传值即可：

// 自动转义特殊字符，无绑定参数误识别问题
const user = await User.findOne({
  where: {
    account: inputAccount,
    password: inputPassword
  }
})

原生SQL查询使用replacements传参：

const { QueryTypes } = require('sequelize');
// 问号占位符形式
const user = await sequelize.query(
  'SELECT * FROM users WHERE account = ? AND password = ?',
  {
    replacements: [inputAccount, inputPassword],
    type: QueryTypes.SELECT
  }
);
// 命名占位符形式
const user = await sequelize.query(
  'SELECT * FROM users WHERE account = :account AND password = :pwd',
  {
    replacements: { account: inputAccount, pwd: inputPassword },
    type: QueryTypes.SELECT
  }
);

方案2：关闭命名绑定参数识别（仅非拼接SQL场景使用） #

如果你需要执行的SQL完全可控、没有动态拼接的用户输入，可以临时关闭绑定参数解析：

const user = await sequelize.query(
  'SELECT * FROM users WHERE is_deleted = 0',
  {
    type: QueryTypes.SELECT,
    bindParam: false
  }
);

注意：该方案禁止用于有用户输入的场景，直接拼接用户输入会导致SQL注入风险。

内容的提问来源于stack exchange，提问作者Syed Sameer Hasan