使用带有 pg-promise 的数组

Question

我正在使用 pg-promise，但不了解如何运行此查询。第一个查询有效，但我想使用 pg-promise 的安全字符转义，然后我尝试第二个查询它不起作用。

作品：

db.any(`SELECT title FROM books WHERE id = ANY ('{${ids}}') ORDER BY id`)

没用

db.any(`SELECT title FROM books WHERE id = ANY ($1) ORDER BY id`, ids)

Answer 1

这个例子有两个问题。首先，它违背了documentation tells you：

重要提示：永远不要在 ES6 模板字符串中使用保留的 ${} 语法，因为它们不知道如何为 PostgreSQL 格式化值。在 ES6 模板字符串中，您应该只使用以下 4 个选项之一 - $()、$<>、$[] 或 $//。

手动查询格式化，就像您的第一个示例一样，是一种非常糟糕的做法，会导致坏事，从损坏的查询到 SQL 注入。

第二个问题是，在切换到正确的 SQL 格式后，您应该使用CSV Filter 正确格式化值列表：

db.any(`SELECT title FROM books WHERE id IN ($/ids:csv/) ORDER BY id`, {ids})

或通过索引变量：

db.any(`SELECT title FROM books WHERE id IN ($1:csv) ORDER BY id`, [ids])

请注意，我还将操作数从 ANY 更改为 IN，因为我们在此处提供了开放值列表。

您可以随意使用过滤器:list。