为何Prepared Statement执行SELECT * FROM $1时出现语法错误？

哥们，这个坑我之前也踩过！咱们直接说核心原因：PostgreSQL里的参数占位符（比如$1）只能用来替代查询中的「值」，根本不能用来替换表名、列名这类SQL标识符。

你把table设成["person"]，想让$1替代表名，但数据库会把$1当成一个字符串值来解析，实际执行的SQL其实是这样的：

SELECT * FROM 'person'

这明显不符合SQL语法——表名哪能用单引号括起来啊！所以数据库直接给你抛出syntax error at or near "$1"的报错。

怎么解决这个问题？ #

要动态指定表名，得用安全的方式处理SQL标识符，给你两个靠谱方案：

1. 用pg-format库（强烈推荐） #

这个库专门针对PostgreSQL做SQL格式化，能自动帮你转义标识符，从根源避免SQL注入风险。

先安装库：

npm install pg-format

然后修改你的代码：

const format = require('pg-format');

// 用%I表示要格式化的标识符（表名、列名都适用）
const response = await pool.query(format(`SELECT * FROM %I`, table));

2. 手动转义标识符（不推荐，仅限完全信任输入的场景） #

要是不想额外装库，也可以手动给表名加双引号，同时转义表名里的双引号，但这种方式有SQL注入风险，只有当你100%确认table的值是安全的（比如是你自己代码里定义的常量）才能用：

// 转义表名里的双引号，避免语法错误
const escapedTable = table.replace(/"/g, '""');
const response = await pool.query(`SELECT * FROM "${escapedTable}"`);

⚠️ 重要提醒：绝对不能直接把用户输入的表名拼进SQL语句里！那样会招来致命的SQL注入漏洞，一定要用安全的标识符处理方式。

内容的提问来源于stack exchange，提问作者AskYous