在 sql 查詢中使用引號 node.js

Question

我有這樣的查詢：

let thequery = "insert into USERS (USERNAME) VALUES ('" + username + "')"

但是當我將查詢插入到我的數據庫中時（我為了分析目的而存儲查詢），由於引號而失敗。

var insertAnalyticsLogin = "insert into ANALYTICS (username, location, device, query, timeoflogin) VALUES ('" + username + "', '" + location + "', '" + device + "', '" + thequery + "', '" + timeoflogin + "')"

我怎樣才能解決這個問題？ 我嘗試將thequery轉換為toString() ，但這是一次無用的嘗試。 還有其他想法嗎？

編輯：

我收到的錯誤是：

    sqlMessage: "You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'email@email.com')', '1/5/2022, 11:32:54 AM')' at line 1",
  sqlState: '42000',
  index: 0,
  sql: "insert into ANALYTICS (username, location, device, query, timeoflogin) VALUES ('email@email.com', 'n/a', 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.2 Safari/605.1.15', 'insert into USERS (USERNAME) VALUES ('email@email.com')', '1/5/2022, 11:32:54 AM')"

Answer 1

這是一個很好的例子，說明使用參數化查詢比使用字符串連接來格式化 SQL 查詢更好。 您可以使用參數占位符，然后您就不必擔心字符串變量中可能存在的文字引號字符。

var insertAnalyticsLogin = "insert into ANALYTICS (username, location, device, 
  query, timeoflogin) VALUES (?, ?, ?, ?, ?)"

mysqlconn.query(insertAnalyticsLogin, 
  [username, location, device, thequery, timeoflogin],
  function(err, rows) {
    ...

您甚至不需要?周圍的單引號。 占位符。 事實上，你不能引用占位符，否則它會嘗試插入一個文字字符串“？” 而不是將其視為參數。

使用查詢參數使您的代碼更易於閱讀和編寫，而不會因為試圖平衡所有引號內的引號而感到眼花繚亂。