Node.js中多SQL语句拼接执行报错，动态参数使用问题排查

看起来你遇到的是多SQL语句拼接的语法错误，同时还有潜在的SQL注入风险和MySQL客户端的限制问题，我来一步步帮你解决：

核心问题点 #

• 语句分隔符缺失：你把UPDATE和INSERT语句直接拼在一起，中间没有加;分隔，MySQL无法识别这是两条独立的语句，所以报语法错误。
• SQL注入风险：第二条INSERT语句里的${req.params.id}没有用mysql.escape()处理，直接拼接字符串很容易被注入攻击。
• 多语句执行限制：大多数MySQL Node.js客户端（比如mysql包）默认是禁用多语句执行的，目的是防止SQL注入，就算你加了分号，可能依然无法执行。

推荐解决方案：分开执行两条语句 #

这是最安全、最符合最佳实践的方式，把UPDATE和INSERT分成两次独立的查询：

// 先执行UPDATE语句
await pool.query(
  "UPDATE USER SET STATUS = 'C' WHERE CONFIRM_KEY = ?",
  [req.params.id] // 用参数占位符，自动处理转义，避免注入
);

// 再执行INSERT语句
const result = await pool.query(
  `INSERT INTO CREDIT VALUES (uuid(), ?, null, now(), now(), 3.00, 'C', now(), now(), null, null)`,
  [req.params.id] // 同样用参数占位符
);

这里用了参数占位符?，替代直接拼接字符串，既安全又能自动处理特殊字符的转义，比手动用mysql.escape()更简洁可靠。

如果你一定要一次执行多语句（不推荐） #

如果因为某些原因必须一次执行两条语句，你需要：

1. 在连接配置中开启multipleStatements: true（注意：这会增加SQL注入风险，务必确保所有参数都被正确转义）
2. 给两条语句加上分号分隔，并且所有参数都用mysql.escape()处理

示例代码：

// 注意：连接池配置需要添加 multipleStatements: true
const pool = mysql.createPool({
  // ...其他配置
  multipleStatements: true
});

// 拼接语句时加分隔符，并正确转义所有参数
const escapedId = mysql.escape(req.params.id);
let query = `UPDATE USER SET STATUS = 'C' WHERE CONFIRM_KEY = ${escapedId};`;
query += `INSERT INTO CREDIT VALUES (uuid(), ${escapedId}, null, now(), now(), 3.00, 'C', now(), now(), null, null);`;

const result = await pool.query(query);

但再次强调：这种方式存在安全隐患，除非你完全确认所有输入都被严格验证和转义，否则优先选择分开执行。

内容的提问来源于stack exchange，提问作者Phillip YS