如何在Node-RED中为Azure SQL查询传入会话ID参数？

嘿，你当前的写法存在两个核心问题：一是直接拼接用户会话ID到SQL语句中，会引发严重的SQL注入风险；二是如果msg.conversationId是字符串类型，还会因为没加引号导致SQL语法错误。下面给你两种可行的解决方案，优先推荐第一种：

1. 使用参数化查询（最安全，推荐） #

Node-RED的SQL节点原生支持参数化查询，它会自动处理参数的类型转换和特殊字符转义，从根源上避免SQL注入。修改你的函数节点代码如下：

// 先检查会话ID是否存在，避免空值导致查询报错
if (!msg.conversationId) {
    node.error("会话ID（msg.conversationId）不存在，无法执行SQL查询");
    return null;
}

msg.payload = {
    action: "Q",
    query: "SELECT a = ISNULL(Nome, null) FROM Users WHERE id_conversation = ?",
    params: [msg.conversationId]
};
return msg;

这里的?是参数占位符，params数组里的元素会按顺序替换占位符。不管你的id_conversation字段是数字还是字符串类型，SQL节点都会自动适配处理，不用你手动添加引号或转义字符。

2. 手动转义拼接（不推荐，仅应急使用） #

如果因为特殊场景必须直接拼接字符串，一定要对msg.conversationId做严格的类型检查和特殊字符转义，尽可能降低风险：

if (!msg.conversationId) {
    node.error("会话ID（msg.conversationId）不存在，无法执行SQL查询");
    return null;
}

let safeConversationId;
if (typeof msg.conversationId === 'string') {
    // 转义字符串中的单引号，避免非法闭合SQL语句
    safeConversationId = `'${msg.conversationId.replace(/'/g, "''")}'`;
} else if (typeof msg.conversationId === 'number') {
    safeConversationId = msg.conversationId;
} else {
    node.error("会话ID类型不合法，必须是字符串或数字");
    return null;
}

msg.payload = {
    action: "Q",
    query: `SELECT a = ISNULL(Nome, null) FROM Users WHERE id_conversation=${safeConversationId};`
};
return msg;

⚠️ 注意：这种方法始终存在SQL注入的潜在风险，比如会话ID包含特殊格式字符时可能绕过转义，所以优先选择参数化查询方案。

内容的提问来源于stack exchange，提问作者Alessandro Saletti