Node.js中mssql模块变量绑定方法咨询（MySQL转用户）

嘿，刚从MySQL转SQL Server确实会有点小适应期，我来帮你搞定变量绑定这事儿！你之前直接拼接req.body内容的写法非常危险，很容易遭遇SQL注入攻击，必须换成参数化查询的方式——这也是SQL Server推荐的安全做法。

核心思路：用命名参数替代字符串拼接 #

SQL Server（配合Node.js的mssql库）不像MySQL那样用?做占位符，而是用**@开头的命名参数**来绑定变量。下面给你完整的正确写法：

const sql = require('mssql'); // 确保你已经安装并引入了mssql库

const pool = new sql.ConnectionPool(config, (err) => {
  if (err) console.error('连接SQL Server失败:', err);
  else console.log('Connected to SQL server successfully');
});

// 定义带命名参数的SQL语句
const insertQuery = `
  INSERT INTO person (idNumber, forename, surname, age, address, maritalStatus)
  VALUES (@idNumber, @forename, @surname, @age, @address, @maritalStatus)
`;

// 执行参数化查询
pool.connect()
  .then(() => {
    const request = new sql.Request(pool);
    
    // 逐个绑定参数：参数名、数据类型（可选，推荐指定）、参数值
    request
      .input('idNumber', sql.VarChar, req.body.idNumber)
      .input('forename', sql.VarChar, req.body.forename)
      .input('surname', sql.VarChar, req.body.surname)
      .input('age', sql.Int, req.body.age)
      .input('address', sql.VarChar, req.body.address)
      .input('maritalStatus', sql.VarChar, req.body.maritalStatus);
    
    return request.query(insertQuery);
  })
  .then(result => {
    console.log('数据插入成功:', result);
  })
  .catch(err => {
    console.error('查询出错:', err);
  })
  .finally(() => {
    pool.close(); // 记得关闭连接池
  });

简化写法：批量绑定参数 #

如果参数很多，你也可以用对象批量绑定，不用逐个写input：

const params = {
  idNumber: req.body.idNumber,
  forename: req.body.forename,
  surname: req.body.surname,
  age: req.body.age,
  address: req.body.address,
  maritalStatus: req.body.maritalStatus
};

const request = new sql.Request(pool);
// 循环遍历参数对象，自动绑定
Object.entries(params).forEach(([paramName, paramValue]) => {
  request.input(paramName, paramValue);
});

重要提醒 #

• 永远不要直接拼接用户输入到SQL语句里，哪怕你觉得内容“无害”——参数化查询是防范SQL注入的唯一可靠方式。
• 指定数据类型（比如sql.VarChar、sql.Int）能让查询更严谨，避免隐式类型转换带来的问题，当然如果不指定，mssql库也会自动推断类型。

内容的提问来源于stack exchange，提问作者Kasra GH