如何利用模板字面量（Template Literals）配合标签函数实现安全的 SQL 注入防护-js教程-PHP中文网

模板字面量本身不防sql注入，安全依赖标签函数将用户输入转为独立参数数组并交由数据库驱动参数化执行，而非拼入sql字符串。

如何利用模板字面量（template literals）配合标签函数实现安全的 sql 注入防护

模板字面量本身不防 SQL 注入，真正起作用的是你写的标签函数——它必须把用户输入从 SQL 字符串中彻底剥离，交给数据库驱动做参数化执行。

标签函数是关键，不是语法糖

很多人以为写了 sql`SELECT * FROM users WHERE id = ${id}` 就安全了，其实完全错误。模板字符串只是把 ${id} 转成字符串再拼进去，和 "SELECT ... " + id 一样危险。

真正安全的前提是：标签函数要拦截原始字符串片段（parts）和插值参数（values），然后只生成带 ? 占位符的语句 + 独立参数数组，绝不把任何用户数据拼进 SQL 字符串里。

函数名（如 sql）只是约定，没有语法强制力；安全与否全看函数内部是否坚持参数分离
若函数内部调用了 String(value) 再拼进字符串，立刻失效
生成的 { text: "... ? ...", params: [...] } 必须传给支持预处理的驱动（如 pg、mysql2），不能自己用 eval 或字符串拼接去“执行”

一个可用的 sql 标签函数示例

下面这个函数不执行查询，只做结构转换：

function sql(parts, ...values) {
  let query = parts[0];
  const params = [values[0]];
  for (let i = 1; i <p>使用时：</p><pre class="brush:php;toolbar:false;">const id = "1; DROP TABLE users; --";
const active = true;
const result = sql`SELECT * FROM users WHERE id = ${id} AND active = ${active}`;
// → { text: "SELECT * FROM users WHERE id = ? AND active = ?", params: ["1; DROP TABLE users; --", true] }

后续必须交由驱动执行，例如：await pg.query(result.text, result.params)。