join只是字符串拼接工具，不生成SQL或URL，也不校验语法与安全性；真正决定合法性和安全性的，是拼接前各元素的内容、来源及预处理（如转义、编码、过滤）。
join 本身不生成 SQL 或 URL，它只拼字符串
很多人误以为 Array.prototype.join 能“构建查询”，其实它只是把数组元素用指定分隔符连成一个字符串。真正决定是否安全、是否合法的，是数组里每个元素的内容和来源。比如：["id = 1", "name LIKE '%a%'"].join(" AND ") 得到 "id = 1 AND name LIKE '%a%'" —— 看似像 SQL 片段，但若 name 来自用户输入且未转义，就直接引入 SQL 注入风险。
拼接 WHERE 条件时，必须先过滤空值和无效条件
常见错误是把 undefined、null、空字符串或 false 当作有效条件塞进数组，导致生成 " AND AND status = 'active'" 这类语法错误片段。
- 用
.filter(Boolean)去掉 falsy 值（注意：0 和 '0' 也会被过滤，按需调整） - 更稳妥的做法是显式检查：
.filter(item => item != null && item !== '') - 对每个条件项做预处理：比如
value ? `status = '${escapeSql(value)}'` : null，再 filter
示例：
const conditions = [
id ? `id = ${id}` : null,
name ? `name LIKE '%${escapeSql(name)}%'` : null,
status ? `status = '${escapeSql(status)}'` : null
].filter(Boolean);
const whereClause = conditions.length ? `WHERE ${conditions.join(' AND ')}` : '';
拼 URL 查询参数时，必须 encode 每个 value，不能只靠 join
join 只负责串连，encodeURIComponent 才负责安全。漏掉编码会导致空格、&、=、中文等破坏 URL 结构。
- 不要：
["a=1", "b=hello world"].join('&')→"a=1&b=hello world"（空格非法） - 要：
Object.entries(params).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&') - 注意：key 也建议 encode，尤其当 key 是动态生成时（如表单字段名含特殊字符）
- 避免手写
join拼接，优先用URLSearchParams（现代环境）或成熟库如qs
兼容性提醒：IE 不支持 URLSearchParams，若需支持，得降级为手动 map + encode + join。
别用 join 处理嵌套结构或带括号的 SQL 片段
比如 IN 子句：id IN (1,2,3)。如果直接 [1,2,3].join(',') 得到 "1,2,3"，看似可行，但忽略类型和注入风险——数字可能来自字符串输入，"1,2,3, (SELECT ...)" 就会出事。
- IN 列表应统一转为参数化占位符：
['?', '?', '?'].join(',')，再配合 query 绑定 - 复杂逻辑如
(a = 1 OR b = 2) AND c = 3，不能靠 flat 数组 join 实现，需用 AST 或 DSL 构建 - join 是扁平拼接工具，不是查询构造器；一旦逻辑变复杂，立刻换专用方案（knex、typeorm、URLSearchParams、zod + safe parsing）
最常被忽略的一点：join 的返回值永远是字符串，它不校验语法、不处理上下文、不感知数据库方言或 URL 编码规则。你喂给它什么，它就吐出什么——干净还是有毒，全看上游怎么准备数据。
