Node.js mssql参数化查询条件无返回结果问题求助

这个问题我之前也碰到过，核心是你误解了mssql库中sql.query模板字符串的参数化机制，以及参数化查询的本质。

为什么会出现无返回结果的情况？ #

当你用sql.query模板字符串传入${types}时，mssql会把这个变量作为一个完整的参数值来处理，而不是把它当成SQL语句的一部分拼接进去。也就是说，实际执行的SQL语句是这样的：

SELECT * FROM mytable WHERE @p1

这里的@p1的值就是你传入的字符串"ContractType = 'AllRisks'"。这相当于在WHERE后面放了一个字符串常量，和你想要的ContractType = 'AllRisks'条件完全不是一回事，自然查不到匹配的结果。

而当你硬编码这个字符串时，SQL语句直接就是SELECT * FROM mytable WHERE ContractType = 'AllRisks'，这才是正确的查询条件，所以能返回结果。

你尝试用pool.request().input的方式没解决，大概率是写法错了——如果还是把整个条件字符串作为参数传入，那和模板字符串的问题完全一样，数据库依然会把它当成一个参数值，而不是条件语句。

正确的解决办法 #

根据你的需求，分两种情况给出方案：

情况1：查询字段固定（就是ContractType） #

这是最简单的场景，直接把字段和值分开，用参数化传递值即可：

try {
  var pool = await sql.connect(config);
  const contractTypeValue = 'AllRisks'; // 只传值，不要带字段和等号
  var data = await sql.query`SELECT * FROM mytable WHERE ContractType = ${contractTypeValue}`;
} catch (err) {
  res.send(err);
}

对应的request.input写法应该是：

try {
  var pool = await sql.connect(config);
  const request = pool.request();
  request.input('contractType', sql.VarChar, 'AllRisks');
  var data = await request.query("SELECT * FROM mytable WHERE ContractType = @contractType");
} catch (err) {
  res.send(err);
}

这样mssql会正确生成参数化查询，既避免了SQL注入风险，又能得到正确的查询结果。

情况2：查询条件是动态的（字段或条件可能变化） #

如果你的types变量可能是不同的条件（比如有时候是ContractType = 'AllRisks'，有时候是Status = 'Active'），那不能直接把整个条件字符串当参数传，需要做两点：

1. 验证合法性：防止SQL注入，比如限制允许使用的字段列表；
2. 拆分条件为字段和值，用参数化传递值，安全拼接字段名。

举个例子：

try {
  var pool = await sql.connect(config);
  // 假设types是一个包含字段和值的对象，比如 { field: 'ContractType', value: 'AllRisks' }
  const allowedFields = ['ContractType', 'Status', 'CreateTime']; // 只允许这些字段，防止注入
  if (!allowedFields.includes(types.field)) {
    throw new Error('非法的查询字段');
  }

  const request = pool.request();
  request.input('conditionValue', sql.VarChar, types.value);
  // 安全拼接字段名，值用参数传递
  var data = await request.query(`SELECT * FROM mytable WHERE ${types.field} = @conditionValue`);
} catch (err) {
  res.send(err);
}

如果你的动态条件更复杂（比如多条件组合），可以用mssql的request.addParameter或者动态构建SQL片段，但一定要注意对所有用户输入的部分做合法性校验，绝对不能直接把用户传入的SQL片段拼接进去，否则会有严重的SQL注入风险。

内容的提问来源于stack exchange，提问作者Jack