Node.js结合MySQL按用户ID动态更新地址字段的语法问题

你改完代码后的报错，本质是没有遵守Node.js mysql模块的占位符传参规则：

• mysql模块定义的?占位符，不会被自动替换成任何值，必须在调用con.query()时，把所有需要绑定的参数按SQL中占位符的出现顺序，整理成数组传入，模块才会自动完成转义、替换工作。
• 你虽然在SQL里写了id=?，但调用con.query(sql, function (err, result) { ... })时，第二个参数的位置直接放了错误回调，根本没有传入任何绑定值。最终送到MySQL执行的SQL语句里带着未被解析的?标记，自然会触发语法解析报错。
• 另外你当前的SQL依然在手动拼接address字符串，哪怕id的占位符逻辑跑通了，也会存在SQL注入风险，不符合基础安全规范。

• 动态参数来源合规：结账更新地址时，当前登录用户的ID必须从服务端维护的登录态（如session、JWT解析结果）中获取，绝对不能从前端提交的表单参数里拿，否则用户可以篡改请求值，随意修改其他账号的地址。
• 所有动态值统一用占位符替换：SQL语句里不管是address还是用户ID，全部用?占位，禁止手动拼接字符串。
• 调整响应位置：原来的res.send('address added')写在数据库连接、查询的异步回调外面，会导致数据库操作还没完成就提前给前端返回结果，需要把响应逻辑放到查询成功的回调里。

app.post('/submitaddress', function (req, res) {
    // 从服务端session获取当前登录用户ID，不要从前端入参读取
    const currentUserId = req.session.userId;
    // 获取前端提交的配送地址
    const address = req.body.address;

    const mysql = require('mysql');
    const con = mysql.createConnection({
        host: "localhost",
        user: "root",
        database: "test",
        password: ""
    });

    con.connect(function(err) {
        if (err) throw err;
        console.log("数据库连接成功");
        // 所有动态值使用?占位符，不拼接字符串
        const sql = "UPDATE `test`.`users` SET `address` = ? WHERE `id` = ?;";
        // 按SQL中?的出现顺序，把对应值放到数组里作为query的第二个参数传入
        con.query(sql, [address, currentUserId], function (err, result) {
            if (err) {
                console.log("地址更新失败：", err.message);
                throw err;
            }
            console.log("地址更新完成，影响行数：", result.affectedRows);
            // 数据库操作完成后再返回响应
            res.send('address added');
        });
    });
})

补充说明：你当前的前端结账页面代码，也没有做登录态校验的逻辑，提交请求时需要带上对应的登录凭证，才能从服务端拿到合法的当前用户ID，完成数据更新。

内容的提问来源于stack exchange，提问作者Mara Marras