在Node.js中防止SQL注入，核心手段就是参数化查询，但不同数据库驱动（mysql、mysql2、pg、tedious、sqlite3、oracle等）在参数化查询的语法、占位符风格、性能表现和安全细节上存在明显差异。很多开发者以为"用了参数化查询就安全了"，但实际上驱动选错、占位符用错、批量操作方式不对，依然可能出现注入漏洞或者性能瓶颈。下面我把主流驱动的参数化查询方式逐一拆解，告诉你到底该怎么选、怎么写、怎么避坑。
为什么参数化查询能防SQL注入
SQL注入的本质是用户输入被拼接进SQL语句，导致数据库把用户数据当成了指令来执行。参数化查询的原理是把SQL语句和数据分开传输——SQL模板先发给数据库，数据作为独立参数再发送，数据库在执行时会对参数做转义和类型校验，从根本上杜绝了数据被当成SQL指令的可能。这不是"过滤"或"转义"，而是数据库层面的协议级隔离，安全性远高于手动拼接字符串。
MySQL驱动：mysql与mysql2的参数化差异
Node.js生态中最常用的MySQL驱动有两个：mysql（社区维护较少）和mysql2（活跃维护、性能更好、支持Promise）。两者都支持参数化查询，但语法细节不同。
mysql驱动使用问号?作为占位符，写法如下：
const mysql = require('mysql');
const connection = mysql.createConnection({
host: 'localhost',
user: 'root',
password: 'password',
database: 'testdb'
});
const userId = req.query.id;
connection.query('SELECT * FROM users WHERE id = ?', [userId], (err, results) => {
if (err) throw err;
console.log(results);
});
mysql2驱动同样支持问号占位符，但更推荐使用命名占位符，可读性更强：
const mysql = require('mysql2/promise');
const connection = await mysql.createConnection({
host: 'localhost',
user: 'root',
password: 'password',
database: 'testdb'
});
const userId = req.query.id;
const [rows] = await connection.execute(
'SELECT * FROM users WHERE id = ?',
[userId]
);
// 命名占位符写法（mysql2独有）
const [rows2] = await connection.execute(
'SELECT * FROM users WHERE id = :id AND status = :status',
{ id: userId, status: 'active' }
);
关键区别在于：mysql2的命名占位符在复杂查询中更易维护，而且mysql2底层使用了更高效的二进制协议解析，在高并发场景下吞吐量比mysql高出30%-50%。如果你是新项目，直接选mysql2，不要再用mysql。
PostgreSQL驱动：pg的$1、$2占位符体系
PostgreSQL的官方Node.js驱动是pg（node-postgres），它使用$1、$2、$3这种位置占位符，不支持问号，也不支持命名占位符（除非借助第三方库如pg-promise的格式化功能）。
const { Pool } = require('pg');
const pool = new Pool({
host: 'localhost',
user: 'postgres',
password: 'password',
database: 'testdb',
port: 5432
});
const userId = req.query.id;
const result = await pool.query(
'SELECT * FROM users WHERE id = $1 AND created_at > $2',
[userId, new Date('2024-01-01')]
);
console.log(result.rows);
pg驱动还有一个容易踩的坑：当你使用数组类型的参数时，比如IN查询，需要特别注意数组展开。pg支持直接传数组，但要用ANY关键字配合：
const ids = [1, 2, 3, 4]; const result = await pool.query( 'SELECT * FROM users WHERE id = ANY($1)', [ids] );
如果你写成'WHERE id IN ($1)'然后传[1,2,3]，pg会报错，因为它会把整个数组当成一个参数而不是多个值。这是很多从MySQL转过来的开发者最常犯的错误。
SQL Server驱动：tedious的参数化方式
连接SQL Server的主流驱动是tedious，它使用@paramName或者@p0、@p1这种命名/索引混合风格。tedious的参数化查询需要显式定义输入参数的类型和方向，比MySQL和PostgreSQL繁琐得多。
const { Connection, Request } = require('tedious');
const config = {
server: 'localhost',
authentication: { type: 'default', options: { userName: 'sa', password: 'password' } },
options: { database: 'testdb' }
};
const connection = new Connection(config);
connection.on('connect', err => {
if (err) { console.error(err); return; }
const request = new Request(
'SELECT * FROM users WHERE id = @id AND status = @status',
(err, rowCount) => {
if (err) console.error(err);
}
);
request.addParameter('id', TYPES.Int, parseInt(req.query.id));
request.addParameter('status', TYPES.NVarChar, 'active');
connection.execSql(request);
});
tedious的特点是类型安全做得很严格，你必须明确告诉驱动每个参数的SQL类型（TYPES.Int、TYPES.NVarChar等）。这虽然写起来啰嗦，但能避免隐式类型转换带来的注入风险和性能问题。另外tedious还支持存储过程调用，参数化方式类似但需要额外处理OUTPUT参数。
SQLite驱动：sqlite3的简洁参数化
sqlite3是Node.js中操作SQLite的驱动，它同时支持?和$param、$:param两种占位符风格。对于简单项目或者嵌入式场景，sqlite3的参数化查询写法非常简洁：
const sqlite3 = require('sqlite3').verbose();
const db = new sqlite3.Database('./test.db');
const userId = req.query.id;
db.get('SELECT * FROM users WHERE id = ?', [userId], (err, row) => {
if (err) throw err;
console.log(row);
});
// 也可以用命名风格
db.get('SELECT * FROM users WHERE id = $id', { $id: userId }, (err, row) => {
console.log(row);
});
需要注意的是，sqlite3在Node.js中默认是异步回调风格，但也可以通过sqlite3的Promise封装或者使用better-sqlite3（同步API，性能更高）来使用。better-sqlite3的参数化语法和sqlite3一致，只是执行方式不同。
Oracle驱动：oracledb的绑定变量机制
连接Oracle数据库需要使用oracledb驱动，它使用:1、:2这种冒号加数字的绑定变量方式，或者:paramName命名绑定。Oracle对参数化查询的支持非常成熟，但配置相对复杂。
const oracledb = require('oracledb');
async function run() {
const connection = await oracledb.getConnection({
user: 'system',
password: 'password',
connectString: 'localhost:1521/xe'
});
const userId = req.query.id;
const result = await connection.execute(
'SELECT * FROM users WHERE id = :id',
[userId],
{ outFormat: oracledb.OUT_FORMAT_OBJECT }
);
console.log(result.rows);
await connection.close();
}
run().catch(err => console.error(err));
oracledb还支持批量绑定和PL/SQL块中的绑定变量，在处理大批量数据导入时性能优势明显。但要注意Oracle的绑定变量有数量限制（默认1000个），超过需要调整配置。
驱动差异对安全性的实际影响
从安全角度看，只要你正确使用了参数化查询，主流驱动都能有效防止SQL注入。但以下几个细节决定了你是否真的安全：
第一，不要在参数化查询中拼接表名或列名。参数化查询只能保护"值"，不能保护"标识符"。如果你需要动态表名，必须用白名单校验，而不是直接拼接用户输入。
// 错误做法：表名不能参数化
const tableName = req.query.table;
connection.query(`SELECT * FROM ${tableName} WHERE id = ?`, [id]);
// 正确做法：白名单校验
const allowedTables = ['users', 'orders', 'products'];
if (!allowedTables.includes(tableName)) {
throw new Error('Invalid table');
}
connection.query(`SELECT * FROM ${tableName} WHERE id = ?`, [id]);
第二，批量操作时要确保每个参数都走参数化通道。有些开发者在做批量插入时为了图方便，把多条SQL拼成一个字符串执行，这就绕过了参数化保护。
// 错误：拼接多条SQL
let sql = 'INSERT INTO users (name) VALUES ';
values.forEach((v, i) => {
sql += i > 0 ? ',' : '';
sql += `('${v.name}')`;
});
connection.query(sql);
// 正确：使用批量参数化（mysql2示例）
const values = [['Alice'], ['Bob'], ['Charlie']];
const [result] = await connection.query(
'INSERT INTO users (name) VALUES ?',
[values]
);
第三，注意驱动版本的安全更新。mysql2在2023年修复了一个与SSL连接相关的中间人攻击漏洞，pg也定期发布安全补丁。保持驱动更新是安全运维的基本功。
性能层面的驱动选择建议
除了安全，参数化查询在不同驱动中的性能表现也值得关注。mysql2使用prepared statement缓存机制，重复执行同一SQL时会复用执行计划，性能优于mysql。pg默认也会缓存prepared statement，但需要在连接字符串中开启或通过pg-pool配置。tedious对prepared statement的支持相对弱一些，大量重复查询时建议手动管理statement对象。sqlite3因为是文件数据库，参数化查询的性能开销几乎可以忽略，但在高并发写入场景下需要注意锁竞争。
从实际项目经验来看，如果你的应用需要同时支持多种数据库（比如SaaS产品），建议使用ORM或查询构建器（如Knex.js、Prisma、TypeORM）来抽象底层驱动差异。这些工具会自动根据配置的数据库类型生成正确的参数化语法，减少人为错误。但要记住，ORM不是银弹，复杂查询场景下仍然需要手写原生SQL并确保参数化正确。
总结：选对驱动、写对语法、守住边界
防止SQL注入在Node.js中的核心就是参数化查询，但"用了参数化"不等于"用对了参数化"。不同驱动的占位符风格、类型声明方式、批量操作支持都不一样，选错驱动或写错语法不仅影响性能，还可能留下安全隐患。记住三点：优先选活跃维护的驱动（mysql2、pg、tedious、oracledb）；表名列名用白名单，值用参数化；保持驱动版本更新。把这三点做到位，SQL注入在你的Node.js应用中基本就不会成为问题。
