不推荐用模板字符串拼接sql语句，因其易导致sql注入、类型错乱且无法利用预编译机制；应优先使用参数化查询或orm，动态拼接仅限白名单校验的结构部分。
不推荐用模板字符串拼接 SQL 语句——这不是“优雅”，而是高危操作。
为什么模板字符串拼接 SQL 很危险
直接把变量插进 SQL 字符串，等于把数据库的钥匙交到用户手上：
-
SQL 注入无处不在：比如用户输入
admin' OR '1'='1，拼出来可能是WHERE username = 'admin' OR '1'='1'，整张表被拖走 - 类型错乱难察觉：数字、null、undefined、带单引号的字符串一混进去，SQL 直接报错或逻辑异常
- 无法复用预编译机制：绕过了数据库的参数化查询能力，失去性能优化和安全兜底
真正安全又简洁的替代方案
用占位符 + 参数化查询，由驱动/ORM 自动处理转义和类型绑定：
-
Node.js + mysql2（推荐）：
connection.execute('SELECT * FROM users WHERE id = ? AND status = ?', [123, 'active']) -
PostgreSQL + pg：
client.query('SELECT * FROM posts WHERE author_id = $1 AND published = $2', [userId, true]) - TypeScript + TypeORM / Prisma：完全告别手写 SQL，用方法链或类型安全的查询构造器
如果真要动态拼接（极少数合规场景）
必须满足三个前提：变量完全可控（如配置项、枚举值）、全程在服务端、且已做白名单校验。此时可谨慎使用模板字符串，但仅限于结构部分（如字段名、表名），数据值仍走参数化：
- ✅ 安全示例：
const sql = `SELECT ${allowedFields.join(',')} FROM ${whitelistTables[tableName]}` - ❌ 绝对禁止：
`WHERE name = '${req.query.name}'`或`ORDER BY ${userInput}`
安全不是加个反引号就能解决的事。用对工具，比写得“顺手”重要得多。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
