ES6模板字符串本身不提供SQL格式化能力，但能安全清晰拼接SQL片段，关键在于不直接插值用户输入，而是结合参数占位与模板逻辑，通过预编译参数、封装工具函数及严格清洗实现防注入与结构化构建。
ES6 模板字符串本身不提供 SQL 格式化能力，但它能安全、清晰地拼接 SQL 片段，配合合理设计可实现结构化、易读、防基础注入的 SQL 构建 —— 关键在于“不直接拼接用户输入”，而是结合参数占位与模板逻辑。
用模板字符串组织 SQL 结构，提升可读性
模板字符串支持多行和变量插值，适合写复杂查询。比如构建一个带条件的 SELECT：
注意：这里仅展示结构，实际变量必须来自可信来源或经严格处理
- 用反引号包裹 SQL，换行自然保留，逻辑更清晰
- 用
${variable}插入已清洗/转义/参数化的值（如数据库驱动的预编译参数），而非原始用户输入 - 条件逻辑可内联（如三元运算）或提前计算好片段，避免在模板里写复杂判断
避免直接插值用户输入，防止 SQL 注入
这是最关键的实践。模板字符串不会自动转义，直接插值 user.name 或 req.query.id 是危险的：
Java Maven Common
下载
Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。
立即学习“Java免费学习笔记（深入）”；
- ❌ 错误示例：
`SELECT * FROM users WHERE id = ${req.query.id}`—— 可被注入 - ✅ 正确做法：用模板字符串组装语句骨架，再交由数据库驱动（如 mysql2、pg）用参数化查询执行
- 例如：
`SELECT * FROM users WHERE status = ? AND age > ?`，然后传入数组参数[status, minAge]
封装工具函数，统一处理字段与条件
可写辅助函数生成安全的 WHERE 子句或 SET 片段，再嵌入模板：
- 比如
buildWhere({ name: 'Alice', active: true })返回"name = ? AND active = ?"和对应参数数组 - 模板中写：
`UPDATE users SET ${setClause} WHERE ${whereClause}`，再绑定参数执行 - 这样既保持模板的简洁性，又把安全性逻辑集中管理
调试时临时格式化输出（仅开发环境）
若需查看最终 SQL（如日志），可在开发阶段用占位符 + 参数模拟渲染，但绝不用于执行：
- 例如：
sql.replace(/\?/g, () => `'${params.shift()}'`)—— 仅用于打印，不能进生产查询 - 正式执行仍必须走参数化，确保驱动层完成类型校验与转义
