如何在Sequelize中创建预处理语句？该框架是否支持此功能？

嘿，我来帮你理清这个问题！答案是肯定的——Sequelize完全支持预处理语句，只是它的实现方式和你预想的不太一样，而且官方文档的侧重点不在“显式调用prepare”上，而是把这个逻辑封装得更友好了。

为什么找不到sequelize.prepare？ #

Sequelize作为ORM框架，核心目标之一就是让开发者不用手动处理底层的数据库细节，包括预处理语句的创建和执行。它不会暴露prepare这类底层方法，而是在你使用安全的参数化查询时，自动在底层使用预处理语句，以此来防范SQL注入。

怎么在Sequelize里用“预处理”能力？ #

你不需要手动调用prepare，只要遵循Sequelize的参数化查询规范就行，举几个常见场景：

1. 使用sequelize.query的参数化写法

不管是用占位符?还是命名参数，Sequelize都会自动把它转化为预处理语句执行：

// 用?作为占位符
const userId = 123;
const user = await sequelize.query(
  'SELECT * FROM users WHERE id = ?',
  {
    replacements: [userId],
    type: sequelize.QueryTypes.SELECT
  }
);

// 用命名参数更直观
const userName = 'john_doe';
const user = await sequelize.query(
  'SELECT * FROM users WHERE username = :username',
  {
    replacements: { username: userName },
    type: sequelize.QueryTypes.SELECT
  }
);

2. 使用Model的CRUD方法

所有Model的内置方法（比如findAll、create、update等），内部都会自动使用参数化查询，根本不用你操心：

// 这里的userId会被安全地参数化，不会引发SQL注入
const users = await User.findAll({
  where: {
    id: userId
  }
});

// 创建用户时的参数也会被预处理
const newUser = await User.create({
  username: 'jane_smith',
  email: 'jane@example.com'
});

一定要显式用prepare怎么办？ #

如果你的场景确实需要手动控制预处理语句的复用（比如高频执行的查询），可以直接调用Sequelize底层的数据库驱动。比如获取连接后，用驱动原生的prepare方法：

const connection = await sequelize.connectionManager.getConnection();
try {
  // 以mysql2驱动为例，调用prepare
  const stmt = await connection.prepare('SELECT * FROM users WHERE id = ?');
  const [results] = await stmt.execute([123]);
  // 用完记得关闭语句和连接
  await stmt.close();
} finally {
  await connection.release();
}

不过这种场景非常少见，Sequelize的封装已经能覆盖绝大多数安全且高效的查询需求了。

总结一下：不用纠结找不到sequelize.prepare，因为Sequelize已经把预处理的安全能力内置到了所有规范的查询方式中，这也是它能有效防止SQL注入的核心原因。

内容的提问来源于stack exchange，提问作者Muhammad Umer