Express JS中使用模板字符串拼接SQL存储过程调用语句时出现语法错误的问题排查

嘿，我来帮你搞定这个问题！你的代码里有两个核心问题导致了语法错误，咱们一个个拆解：

1. 多余的单引号把SQL命令变成了普通字符串 #

看你定义的query变量，整个EXEC语句被额外的单引号包裹起来了：

const query = `
    'EXEC testStoredProcedure
    @user_id = ${req.body.user_id},
    ...'
`;

这会让SQL Server把整个'EXEC ...'当成一个普通字符串，而不是要执行的存储过程调用命令，自然会报语法错误。直接去掉这些包裹的单引号就能解决这部分问题。

2. 参数传递方式冲突，还存在SQL注入风险 #

你同时用了两种参数传递方式：

• 一边通过request.input()做参数化绑定（这是安全且正确的方式）
• 另一边又用模板字符串直接拼接参数值（比如${user_id}）

这种混用不仅会导致SQL解析错误，还会引入严重的SQL注入漏洞！直接拼接用户输入的内容，恶意用户可以构造特殊值篡改你的SQL语句，风险极高。

正确的改进方案：保留参数化绑定，用命名参数提升可读性 #

我们可以保留request.input()的安全绑定，同时把存储过程调用改成命名参数形式，这样即使参数很多，代码依然清晰，还不会有语法和安全问题：

const pool = await poolPromise;
// 先链式绑定所有参数，清晰明了
const request = pool.request()
    .input('user_id', sql.NVarChar(50), user_id || null)
    .input('img_data', sql.VarBinary(sql.MAX), img_data ? Buffer.from(img_data) : null)
    .input('img_size', sql.Decimal(10, 3), img_size)
    .input('birthday', sql.Date, birthday)
    .input('country', sql.VarChar(200), country)
    .input('email_add', sql.NVarChar(150), email_add)
    .input('mobile_no', sql.VarChar(50), mobile_no)
    .input('key', sql.VarChar(100), key);

// 用命名参数调用存储过程，这里的@参数名和上面input绑定的参数名一一对应
const result = await request.query(`
    EXEC testStoredProcedure 
        @user_id = @user_id,
        @img_data = @img_data,
        @img_size = @img_size,
        @birthday = @birthday,
        @country = @country,
        @email_add = @email_add,
        @mobile_no = @mobile_no,
        @key = @key
`);

为什么这样正确？ #

• 去掉了多余的单引号，SQL Server能正确识别这是存储过程调用命令
• 依然使用参数化查询（request.input()），彻底避免SQL注入风险
• 命名参数的写法让存储过程调用的参数对应关系一目了然，可读性拉满

另外还要注意：你的Flutter请求里传了空字符串和null，在参数绑定时要确保类型匹配（比如img_data为空时，要传null而不是空字符串，避免VarBinary类型出错），我上面的代码里已经加了img_data ? Buffer.from(img_data) : null的处理，你可以根据实际情况调整。

备注：内容来源于stack exchange，提问作者DevQt