Node.js使用pg-promise传参时触发错误命名查询问题排查

问题根因 #

你触发这个bug的核心原因是误用了JavaScript的逗号运算符：
在JS语法中，逗号运算符会按顺序执行所有表达式，最终返回最后一个表达式的真值结果。也就是说：

• 你写的else if (city, region, country)，等价于只判断country是否为真值，只要country存在，不管city、region有没有值，这个条件都会判定为真，自然永远走不到后面的region、country分支。
• 你所有多参数的if判断都存在同样的问题，逻辑完全不符合预期。

业务逻辑存在的问题 #

1. 条件判断逻辑错误：多参数同时存在的校验应该使用逻辑与运算符&&，而非逗号
2. 缺少参数提取和合法性校验：代码里没有看到你从请求参数中提取city/region/country等变量的逻辑，也没有对空字符串、空格这类无效值做过滤，容易出现参数判真逻辑错误
3. 分支冗余：当前写法每多一种参数组合就要新增一个if分支，参数越多维护成本越高，很容易出现漏写、错写的情况

修复方案 #

1. 快速修复（直接改现有逻辑） #

把所有多参数判断的逗号替换为&&即可，比如：

// 修改前
else if (city, region, country)
// 修改后
else if (city && region && country)

// 修改前
else if (region, country)
// 修改后
else if (region && country)

所有的多参数if条件都按照这个规则修改即可让现有分支逻辑生效。

2. 推荐优化方案（动态拼接SQL，减少冗余分支） #

可以通过动态收集有效参数、拼接WHERE子句的方式简化代码，不需要写大量重复的if分支：

exports.findProducts = async (req, res) => {
  // 第一步：从请求中提取参数，同时过滤无效值
  const { city, region, country, category, minPrice, maxPrice, orderedBy, sorted, vendor } = req.query;
  const conditions = [];
  const values = [];
  let name = 'get-products';

  // 第二步：逐个收集有效查询条件
  if (city) {
    conditions.push(`city = $${values.length + 1}`);
    values.push(city);
    name += '-city';
  }
  if (region) {
    conditions.push(`region = $${values.length + 1}`);
    values.push(region);
    name += '-region';
  }
  if (country) {
    conditions.push(`country = $${values.length + 1}`);
    values.push(country);
    name += '-country';
  }
  if (category) {
    conditions.push(`category = $${values.length + 1}`);
    values.push(category);
    name += '-category';
  }
  if (minPrice && maxPrice) {
    conditions.push(`price BETWEEN $${values.length + 1} AND $${values.length + 2}`);
    values.push(minPrice, maxPrice);
    name += '-price-range';
  }
  if (vendor) {
    conditions.push(`vendor = $${values.length + 1}`);
    values.push(vendor);
    name += '-vendor';
  }

  // 第三步：拼接SQL语句
  let text = 'SELECT * FROM products';
  if (conditions.length > 0) {
    text += ' WHERE ' + conditions.join(' AND ');
  }
  // 处理排序逻辑
  if (orderedBy && sorted) {
    // 注意：排序字段和规则要做白名单校验，避免SQL注入
    const allowedOrderFields = ['id', 'price', 'name'];
    const allowedSortTypes = ['ASC', 'DESC'];
    if (allowedOrderFields.includes(orderedBy) && allowedSortTypes.includes(sorted.toUpperCase())) {
      text += ` ORDER BY "${orderedBy}" ${sorted.toUpperCase()}`;
      name += `-order-by-${orderedBy}-${sorted}`;
    }
  } else {
    text += ' ORDER BY id ASC';
  }

  // 第四步：执行查询
  try {
    const result = await db.any({ name, text, values });
    if (result.length > 0) {
      return res.status(200).send({ data: result });
    }
    return res.status(404).send({ error: 'No product found.' });
  } catch (error) {
    console.log(`${name} error:`, error);
    return res.status(500).send({ error: 'Internal server error' });
  }
};

这种方案不管后续新增多少查询参数，只需要新增几行条件收集的代码即可，不需要重复写大量重复的查询逻辑，也避免了多分支判断的错误。

内容的提问来源于stack exchange，提问作者Vincenzo