QueryBuilder中拼接字段名危险，因where()等方法不校验字段名，攻击者可注入恶意SQL；动态字段名必须用白名单严格校验，如Zod枚举或IsIn装饰器，且白名单须与实体定义同步更新。
QueryBuilder里拼接字段名为什么危险
TypeORM的where()、andWhere()等方法本身不拦字段名拼接。一旦你写query.where(`user.${fieldName} = :val`, { val })，而fieldName来自req.query.sort，攻击者传name; DROP TABLE users--，语句就变成user.name; DROP TABLE users-- = $1——数据库会执行两条语句。参数化只保护:val位置，不保护${fieldName}所在的位置。
动态字段名必须白名单校验
列名、表名、排序方向这些“SQL结构部分”无法参数化，TypeORM也不提供运行时转义接口。你得自己收口校验逻辑：
- 用
Zod定义白名单：z.enum(['name', 'email', 'created_at'])，不是z.string() - 用
class-validator装饰器：@IsIn(['name', 'email']) sortField: string - 别依赖
Object.keys(User)动态生成白名单——实体类可能被扩展或继承污染 - 排序方向必须限定为
'ASC' | 'DESC'字面量类型，而不是string
命名参数绑定要小心键名匹配
循环添加andWhere时，常见错误是写成{ paramName: value }，这会让TypeORM找名为paramName的参数，而不是你想要的searchVal1：
使用 Scrapfly SDK（scrapfly-sdk）在 TypeScript 或 JavaScript 中进行网页抓取，用于用户请求抓取 URL、绕过反爬虫防护、渲染页面等场景。
- ✅ 正确写法：
query.andWhere(`u.${key} ILIKE :${paramName}`, { [paramName]: `%${value}%` }) - ❌ 错误写法：
{ paramName: `%${value}%` }（字面量键，永远不匹配） - 字段名
key仍需白名单，不能因为用了命名参数就放松校验 - PostgreSQL的JSON路径操作符
->>左侧不支持escape()，所以row_data->>'${key}'里的key更得靠白名单
别信“ORM自动防护”这种说法
TypeORM的createQueryBuilder()只是工具，它不会替你判断where({ [userInput]: value })是否安全。MongoDB风格的键名注入（如{ $ne: null }）在PostgreSQL里虽不生效，但某些驱动或自定义查询构造器可能解析键名触发非预期行为。真正起作用的是你写的那行if (VALID_COLUMNS.includes(key))，不是框架某处文档里写的“默认安全”。
最易被忽略的是：白名单漏加一个字段，线上就报错；加错一个大小写或下划线，等于开了后门。它必须和实体定义同步更新，且不能从数据库或配置文件动态加载。
