使用准备好的语句参数 pg-promise 的 ORDER BY 命令

Question

我是 Node、API 和 SQL 的新手，我碰壁了。我正在使用pg-promise 准备好的语句，我正在尝试使用sorted 参数和ORDERED BY 命令对结果进行通常的排序，但它不起作用，因为总是按相同的顺序排列。 如果我直接使用参数的名称，它会起作用，你能看到我的查询做错了什么吗？ 像往常一样非常感谢您的时间和帮助。 这是我的方法：

if (city, region, country, category, minPrice, maxPrice, orderedBy, sorted) {
    if (sorted == 'asc') {
      await db.any({
        name: 'get-city-category-price-range-ordered-by-asc-products',
        // text: 'SELECT * FROM products WHERE city = $1 AND region = $2 AND country = $3 AND category = $4 AND price >= $5 AND price <= $6 ORDER BY price ASC', // working
        text: 'SELECT * FROM products WHERE city = $1 AND region = $2 AND country = $3 AND category = $4 AND price >= $5 AND price <= $6 ORDER BY $7 ASC', // not working
        values: [city, region, country, category, minPrice, maxPrice, orderedBy]
      })
        .then(result => {
          console.log('get-city-category-price-range-ordered-by-asc-products:', result);
          if (result.length > 0) {
            res.status(200).send({
              data: result
            });
          }
          else {
            res.status(404).send({
              error: 'No product found.'
            });
          }
        })
        .catch(function (error) {
          console.log('get-city-category-price-range-ordered-by-asc-products error:', error);
        });

    } else if (sorted == 'desc') {
      await db.any({
        name: 'get-city-category-price-range-ordered-by-desc-products',
        // text: 'SELECT * FROM products WHERE city = $1 AND region = $2 AND country = $3 AND category = $4 AND price >= $5 AND price <= $6 ORDER BY price DESC', // working
        text: 'SELECT * FROM products WHERE city = $1 AND region = $2 AND country = $3 AND category = $4 AND price >= $5 AND price <= $6 ORDER BY $7 DESC', // not working
        values: [city, region, country, category, minPrice, maxPrice, orderedBy]
      })
        .then(result => {
          console.log('get-city-category-price-range-ordered-by-desc-products:', result);
          if (result.length > 0) {
            res.status(200).send({
              data: result
            });
          }
          else {
            res.status(404).send({
              error: 'No product found.'
            });
          }
        })
        .catch(function (error) {
          console.log('get-city-category-price-range-ordered-by-desc-products error:', error);
        });
    }
  }

Answer 1

不幸的是，您不能将查询参数用于列名和表名等内容，而只能用于值。所以这永远行不通，您需要通过添加正确的“order by”语句来手动构建 SQL 文本。然后所有关于 SQL 注入的警告都适用，因此请检查您的 orderBy 字段是否有效（例如，仅包含字母，没有空格或其他字符）。

Answer 2

当您选择PreparedStatement 时，您的查询格式是在服务器端完成的。因此，如果您决定使用 PreparedStatement 来实现该目的，以获取服务器格式化的值，那么您将不得不放弃 pg-promise 在内部支持常规查询的丰富查询格式，并将自己限制在 PostgreSQL 服务器上在这方面可以做到。与pg-promise 不同，PostgreSQL 服务器不允许在任何地方使用动态 SQL 名称或标识符。

但是，如果您选择 PreparedStatement 是因为您认为在您的情况下它会执行得更快，那么您仍然可以从 pg-promise 支持的丰富查询格式中受益，方法是单独格式化查询，然后执行 PreparedStatement预格式化查询，即不带任何参数：

const text = pgp.as.format(`SELECT * FROM products WHERE city = $/city/
                            AND region = $/region/ AND country = $/country/
                            AND category = $/category/
                            AND price BETWEEN $/minPrice/ AND $/maxPrice/
                            ORDER BY $/orderedBy:name/ $/sorted:value/`, {
                              city, region, country, category,
                              minPrice, maxPrice, orderedBy, sorted
                            });

const name = 'get-price-range-ordered-by-products-' + sorted; // unique query name

await db.any({name, text});

如您所见，排序顺序也可以动态设置，无需复制代码。我们将sorted 附加到查询的name 之后，因为它会生成不同的执行路径，这需要唯一的查询名称。

附：我是pg-promise的作者。