如何在JavaScript中编写参数化SQL查询？解决语法错误问题

看来你在写参数化SQL的时候踩了几个常见的坑，咱们先拆解下你之前写法的问题，再给你正确的实现方式：

你的错误写法分析 #

你写的三种写法都存在核心问题：

• 前两种写法里的SQL语句没有用反引号/引号包裹，直接写select * from...会触发JavaScript语法错误，因为这不是合法的字符串
• 三种写法都错误地把参数直接塞进了SQL字符串里，参数化查询的关键是让数据库驱动单独处理参数，而不是手动拼到SQL里，这样既避免语法错误，又能防止SQL注入

正确的参数化查询写法 #

主流的Node.js数据库驱动（比如mysql2、pg、sqlite3）都支持参数化查询，核心思路是把SQL语句和参数分开传递，下面是最常见的两种实现：

情况1：使用?作为占位符（比如mysql2/mysql库）

// 1. 用模板字符串包裹合法的SQL语句，用?作为参数占位符
const sql = `SELECT * FROM q_users WHERE firstname = ?`;

// 2. 把参数放在数组里，作为query方法的第二个参数传入
db.query(sql, [name])
  .then(([rows]) => {
    // 注意mysql2的Promise返回结果是[rows, fields]，取rows即可
    console.log('查询结果:', rows);
  })
  .catch((err) => {
    console.error('查询失败:', err);
  });

情况2：使用$n作为占位符（比如PostgreSQL的pg库）

如果用的是PG库，占位符格式是$1、$2这种序号形式：

const sql = `SELECT * FROM q_users WHERE firstname = $1`;

db.query(sql, [name])
  .then((result) => {
    console.log('查询结果:', result.rows);
  })
  .catch((err) => {
    console.error('查询失败:', err);
  });

额外注意事项 #

• 绝对不要用模板字符串直接拼接参数（比如WHERE firstname = ${name}），这会导致SQL注入漏洞，而且当参数包含引号等特殊字符时，立刻会触发SQL语法错误
• 如果有多个参数，只需要添加对应数量的占位符，然后在参数数组里按顺序传入即可：

  const sql = `SELECT * FROM q_users WHERE firstname = ? AND age > ?`;
  db.query(sql, [name, userAge])
    // ...后续处理
  

• 确保你使用的数据库驱动已经正确配置并支持Promise版本（比如mysql2需要用mysql2/promise来初始化连接池/连接）

内容的提问来源于stack exchange，提问作者Ajay Kumbhare