含日期的字符串无法插入MS SQL？Sequelize执行语法报错求助

你遇到的报错根源很明确：直接把未加引号的字符串拼进SQL语句时，MS SQL会把日期里的空格当成语法分隔符，把16识别成了非法的语法元素，所以才会抛出"Incorrect syntax near '16'"的错误。而且这种直接拼接字符串的写法还存在严重的SQL注入风险，绝对不建议在生产环境使用。

下面给你几种靠谱的解决方式，按推荐优先级排序：

1. 用Sequelize模型的create方法（最规范） #

如果你已经定义了对应的数据表模型，直接用Sequelize内置的create方法就好——它会自动帮你处理字段的转义、引号添加，完全不用自己操心SQL拼接：

// 假设你的模型名为DailyRecord，字段对应你的字符串内容
DailyRecord.create({
  col1: 'hello',
  col2: 'how',
  col3: 'are',
  col4: 'you',
  col5: 'doing',
  col6: 'today',
  dateCol: '2006-11-23 16:01:47'
})
.then(() => console.log('插入成功'))
.catch(err => console.error('插入失败:', err));

2. 使用参数化查询（如果必须手动写SQL） #

如果因为某些原因要手动编写SQL语句，一定要用Sequelize的参数绑定功能，既安全又能避免语法错误：

const str = 'hello,how,are,you,doing,today,2006-11-23 16:01:47';
const values = str.split(',');

// 用?作为占位符，replacements数组会自动对应占位符位置
const query = `INSERT INTO your_table (col1, col2, col3, col4, col5, col6, date_col) VALUES (?, ?, ?, ?, ?, ?, ?)`;
sequelize.query(query, { replacements: values })
.then(() => console.log('插入成功'))
.catch(err => console.error('插入失败:', err));

3. 手动给字段加单引号（不推荐，仅作理解用） #

如果非要自己拼接字符串，必须给每个字段都加上单引号，同时还要转义字段内可能存在的单引号（比如字段值是don't的话，直接加引号会报错）：

const str = 'hello,how,are,you,doing,today,2006-11-23 16:01:47';
// 拆分后给每个元素加单引号，同时转义内部的单引号
const quotedValues = str.split(',').map(val => `'${val.replace(/'/g, "''")}'`).join(',');
const query = `INSERT INTO your_table VALUES (${quotedValues})`;
sequelize.query(query)
.then(() => console.log('插入成功'))
.catch(err => console.error('插入失败:', err));

注意：这种写法依然存在SQL注入风险，比如如果某个字段值是'); DROP TABLE your_table; --，会直接执行恶意SQL，所以强烈建议用前两种方法。

内容的提问来源于stack exchange，提问作者alangilbi