如何使用 JSON 输入构建动态 SQL“WHERE”语句

Posted

技术标签:

【中文标题】如何使用 JSON 输入构建动态 SQL“WHERE”语句【英文标题】:How to build a dynamic SQL "WHERE" statement using a JSON input 【发布时间】:2021-04-12 14:06:33 【问题描述】:

我正在尝试使用 node.js 动态构建我的 SQL 语句。对于我的每个案例,where 子句都会完全不同。

const sql = `select columnName from tableName where ?`;
const whereClause =  "name": "Siri", "Age":20
connection.query(sql, whereClause, (err, rows)  ... );

但是,我不断收到 SQL 语法错误。查询节点构建为select columnName from tableName where name = 'siri', age = 20。我想我得到 SQL 语法错误的原因是因为 SQL 语句缺少 AND 部分。我希望能够通过为 where 子句提供 JSON 对象来构造查询。

由于 SQL 注入风险,我不想使用字符串连接来构建查询。那么,是否有另一种方法可以在不手动添加 AND 部分的情况下构建我的 SQL 语句?

【问题讨论】:

您不能使列名动态化,只能动态化数据部分 当然,即使可能需要引用字符串数据,所以 name = siri 必须是 name = 'siri' 那么您提出的解决方案是什么? 被引用了。我只是为这个问题简化了它 那么注释 1 适用 【参考方案1】:

我很确定您不能这样处理列名。编写一个辅助函数来处理 json 对象并转义值。


function processValue(value) 
    if(!isNaN(value)) 
        return value;
    
    if(typeof value === "string") 
        return `"$mysql.escape(value)"`;
    
    throw new Error("Unsupported value type!");


function where(obj) 
    return Object.entries(obj).reduce(function(statement, [key, value]) 
        return statement.concat(["AND", key, "=", processValue(value)]);
    , []).slice(1).join(" ");


您的查询现在如下所示:

const sql = `select columnName from tableName where ?`;
connection.query(sql, where( "name": "Siri", "Age":20 ), (err, rows)  ... );

另一方面,只需使用 ORM 或 Knex 之类的查询构建器,您就不必手动完成所有这些操作。

【讨论】:

以上是关于如何使用 JSON 输入构建动态 SQL“WHERE”语句的主要内容,如果未能解决你的问题,请参考以下文章

Python sqlite3 构建带有动态占位符的部分

如何在 Vue 中从 JSON 构建动态 HTML 控件?

如何动态构建 JSON 对象?

使用 JSON 格式的 POST 方法 web api 将动态输入提交到数据库

python 如何使用Python动态构建JSON对象?

mybatis 动态Sql