javascript - 使用nodejs在mysql中插入多个值会导致解析错误

Question

我需要使用nodejs向mysql插入一条记录。我可以通过在查询中输入值来直接插入。我可以使用查询 + 值语法插入来连接值，但阅读此内容会留下 SQL 注入(inject)的风险。

        let sql ="INSERT INTO gametypes (strGameType, intTeamSize, intMaxPlayers, intMinPlayers) Values ? ";
        var gametype ="Solo Zonewars";
        var teamSize =1;
        var maxPlayers = 16;
        var minPlayers = 10;
        var values = [gametype, teamSize, maxPlayers, minPlayers];

        console.log("connected as id '" + connection.threadId);
        
        connection.query(sql, values, function(err, result, fields) {
            connection.release();
            if(!err) {
                console.log(result);
            }else console.log(err);
        });    
        

下面是我从 mysql 收到的附加错误。看起来它在游戏类型变量周围添加了额外的引号，而不是尝试将其余部分插入查询中。有任何想法吗？ error from mysql

Answer 1

我建议您不要使用数组并用这个数组替换您的查询

let sql ="INSERT INTO gametypes (strGameType, intTeamSize, intMaxPlayers, intMinPlayers) Values (?, ?, ?, ?) ";

然后你将一一传递这些值