在Express的MSSQL应用中动态设置ORDER BY且避免字符串拼接

我明白你想要在不使用字符串拼接的前提下，给你的查询添加安全的动态排序功能——直接拼接字符串确实容易踩SQL注入的坑，咱们用更安全的参数化+CASE语句的方案来解决。

核心思路 #

因为mssql不允许直接把参数当作排序字段/方向这类标识符使用，所以咱们通过以下两步来实现：

• 白名单验证：先限定允许排序的字段和方向，确保传入的参数是合法的，从根源避免注入风险
• CASE语句映射：用参数化的CASE语句，根据传入的合法参数动态选择排序逻辑，完全不用字符串拼接

修改后的完整代码 #

router.get('/expedientes', function (req, res, next) {
  // 1. 定义合法的排序字段白名单（替换成你expedientes表的实际字段）
  const validSortFields = ['id', 'nombre', 'fecha_creacion'];
  // 定义合法的排序方向
  const validSortOrders = ['ASC', 'DESC'];
  
  // 2. 获取前端参数，设置默认值
  const sortBy = req.query.sort_by || 'id';
  const rawSortOrder = req.query.sort_order?.toUpperCase() || 'ASC';
  
  // 3. 验证参数合法性，非法参数用默认值兜底
  const safeSortBy = validSortFields.includes(sortBy) ? sortBy : 'id';
  const safeSortOrder = validSortOrders.includes(rawSortOrder) ? rawSortOrder : 'ASC';

  // 4. 设置所有查询参数（全参数化）
  request.input('pageSize', sql.Int, parseInt(req.query.page_size));
  request.input('sortBy', sql.VarChar, safeSortBy);
  request.input('sortOrder', sql.VarChar, safeSortOrder);

  // 5. 无字符串拼接的动态排序查询
  const query = `
    SELECT TOP (@pageSize) * 
    FROM expedientes
    ORDER BY
      CASE WHEN @sortOrder = 'ASC' THEN
        CASE @sortBy
          WHEN 'id' THEN id
          WHEN 'nombre' THEN nombre
          WHEN 'fecha_creacion' THEN fecha_creacion
        END
      END ASC,
      CASE WHEN @sortOrder = 'DESC' THEN
        CASE @sortBy
          WHEN 'id' THEN id
          WHEN 'nombre' THEN nombre
          WHEN 'fecha_creacion' THEN fecha_creacion
        END
      END DESC
  `;

  request.query(query, function (err, result) {
    if (err) {
      console.error(err);
      return res.status(500).send('服务器查询错误');
    }
    res.send(result.recordset);
  });
});

关键细节说明 #

• 白名单验证：validSortFields里要列出你expedientes表中真实存在的字段，前端只能传这里面的值，否则会自动用默认的id排序
• 全参数化：所有用户传入的参数都通过request.input()传入，包括排序字段和方向，完全避免了字符串拼接带来的注入风险
• CASE逻辑：外层CASE判断排序方向，内层CASE根据排序字段选择对应的列，这样SQL会根据参数值动态调整排序规则

使用示例 #

前端可以通过查询参数控制排序：

• 默认排序：/expedientes?page_size=10（按id升序）
• 指定字段升序：/expedientes?page_size=10&sort_by=nombre
• 指定字段降序：/expedientes?page_size=10&sort_by=fecha_creacion&sort_order=DESC

内容的提问来源于stack exchange，提问作者Francisco Hanna