Node.js中SQL查询如何使用变量作为WHERE条件动态获取数据

嘿，这个场景我太熟悉了！直接把变量硬塞进SQL字符串里不仅容易因为类型问题出错，还会带来严重的SQL注入风险，正确的做法是用参数化查询来处理动态变量。结合你用的db.all方法（大概率是sqlite3库），给你两种靠谱的实现方式：

方式一：使用匿名占位符 ? #

这是最常用的方式，适合变量不多的情况。数值类型的变量不用额外加引号，库会自动处理类型转换：

// 假设abc是数值类型，比如 let abc = 123;
db.all(
  "select CollectionID, CollectionName from Collection where CollectionID = ?",
  [abc], // 把变量放在数组里作为第二个参数
  function(err, rows) {
    if (err) {
      console.error("查询出错：", err.message);
      return;
    }
    // 处理返回的结果
    rows.forEach(row => {
      console.log(`集合ID: ${row.CollectionID}, 名称: ${row.CollectionName}`);
    });
  }
);

方式二：使用命名占位符（更易读） #

如果后续有多个动态变量，用命名占位符会让代码更清晰，比如$id：

let abc = 456;
db.all(
  "select CollectionID, CollectionName from Collection where CollectionID = $id",
  { $id: abc }, // 用对象键值对映射占位符和变量
  function(err, rows) {
    if (err) {
      console.error("查询出错：", err.message);
      return;
    }
    // 处理结果逻辑同上
  }
);

重要提醒：绝对不要直接拼接字符串！ #

比如这种写法是绝对要避免的：

// 错误示例！存在SQL注入风险
db.all(`select ... where CollectionID = ${abc}`, function() { ... })

如果abc是用户可控的输入（比如URL参数、表单值），攻击者可以传入类似1 OR 1=1的内容，直接获取所有数据甚至篡改数据库。

内容的提问来源于stack exchange，提问作者user9237891