Node.js环境Sequelize 6.5.x原生RAW查询如何使用存储在变量中的参数值

核心原则：绝对禁止通过字符串拼接、模板插值的方式把senderID直接嵌入SQL语句，这类写法会直接引入SQL注入风险，也无法正确处理特殊字符、特殊类型字段的转义逻辑。在Node.js技术栈、对接PostgreSQL 11数据库的场景下，Sequelize 6.5.x提供了两种官方支持的安全参数绑定方案：

方案1：命名占位符 + replacements配置 #

这种方式可读性最优，适合参数数量中等的常规查询场景：

const { QueryTypes } = require('sequelize');
// 用:变量名格式的命名占位符替代原SQL中硬编码的sender_id值
let sql = "SELECT * from messages WHERE sender_id = :senderID";
const msgs = await sequelize.query(sql, {
  type: QueryTypes.SELECT,
  // 通过replacements映射占位符对应的实际变量值
  replacements: { senderID: senderID }
});

Sequelize会自动对传入的参数值做合规转义，不需要手动做类型转换，和PostgreSQL 11的查询执行逻辑完全兼容。

方案2：PostgreSQL原生位置占位符 + bind配置 #

这种方式完全复用PostgreSQL本身的参数绑定语法，适合多参数的复杂查询场景：

const { QueryTypes } = require('sequelize');
// PostgreSQL原生位置占位符从$1开始顺序计数
let sql = "SELECT * from messages WHERE sender_id = $1";
const msgs = await sequelize.query(sql, {
  type: QueryTypes.SELECT,
  // 按占位符的位置顺序传入参数值数组
  bind: [senderID]
});

常见高危错误写法说明 #

• 直接字符串拼接SQL，无任何转义逻辑：

  // 高危写法：可被注入恶意SQL篡改查询逻辑
  let sql = "SELECT * from messages WHERE sender_id = " + senderID;
  

• 模板字符串直接插值变量到SQL：

  // 高危写法：和直接拼接无差异，Sequelize不会对插值内容做转义处理
  let sql = `SELECT * from messages WHERE sender_id = ${senderID}`;
  

内容的提问来源于stack exchange，提问作者user938363