使用node-postgres执行INSERT时报syntax error at or near "a"，无法定位问题

你当前的代码存在两个关键问题，直接导致node-postgres执行失败：

• 生成的SQL本身不符合PostgreSQL语法规范
  查看你打印的实际执行SQL，所有字符串、时间类的值都没有用SQL要求的单引号包裹，数据库解析时会把Bill、jpfdhdl@live.com这类内容识别成未定义的字段名，直接抛出语法解析错误。
• 写法不符合node-postgres的使用要求，存在严重安全隐患
  你通过字符串拼接直接把用户输入嵌入SQL片段，不仅容易出现语法错误，还存在SQL注入风险，完全没有用到node-postgres原生支持的安全参数化查询能力。

node-postgres规定动态值必须通过$顺序占位符传入，所有值统一作为数组参数传递给查询方法，驱动会自动完成类型匹配、引号包裹、特殊字符转义，不需要手动拼接字符串：

router.post("/product/:id", async (req, res) => {
  const id = req.params.id;
  if (!id) throw new Error("ID not present");

  if (!validateProductReviewForm(req.body))
    throw new Error("Form not valid. Please fix and try again");

  const { name, email, rating, comment } = req.body;
  const date = new Date();

  // 用占位符代替直接嵌入的动态值
  const sqlText = `INSERT INTO reviews ("name", email, rating, comment, date, productid) 
                   VALUES ($1, $2, $3, $4, $5, $6) RETURNING *`;
  // 按占位符顺序传入所有动态值，驱动自动处理转义和类型映射
  const { rows } = await query(sqlText, [name, email, rating, comment, date, id]);
  res.send(rows);
});

• 原代码的INSERT语句缺少RETURNING *子句，哪怕SQL执行成功，返回的rows也永远是空数组——普通INSERT操作默认不返回插入的行内容，加上这个子句才能拿到刚写入的完整记录。
• 不要尝试通过手动给字符串加单引号的方式临时修复语法错误，这种方式不仅无法防御SQL注入，还容易因为遗漏特殊字符转义触发新的语法问题。

内容的提问来源于stack exchange，提问作者J H