ES6模板字符串不能防止SQL注入，仅是语法糖；必须使用数据库驱动的参数化查询，标签函数仅可辅助封装，不可替代预编译机制。
ES6 模板字符串本身**不能实现安全的 SQL 拼接防护**，它只是语法糖，不提供任何注入防护能力。直接用 `SELECT * FROM users WHERE id = ${id}` 这类写法，和旧式 "SELECT * FROM users WHERE id = " + id 一样危险——用户输入会未经处理进入 SQL 语句，触发 SQL 注入。
模板字符串不是参数化查询的替代品
模板字符串中的 ${} 是纯运行时字符串插值，不做转义、不区分上下文、不校验类型。数据库引擎看到的仍是拼接完成的完整 SQL 字符串，无法识别哪部分是结构、哪部分是数据。
- ❌ 危险示例：
db.query(`SELECT * FROM products WHERE category = '${req.query.cat}'`)—— 若用户传入cat=tech' OR '1'='1，SQL 变成WHERE category = 'tech' OR '1'='1'，全表泄露 - ✅ 正确路径：必须交由数据库驱动层做参数化，让 SQL 结构与数据物理分离
标签函数可辅助构建安全封装层（非银弹）
你可以用带标签的模板字符串（Tagged Template Literals）封装参数化逻辑，但**标签函数本身不执行查询，只负责提取参数并生成安全调用结构**：
- 定义一个
sql标签函数，接收strings和values，把strings拼成带?占位符的模板，values提取为参数数组 - 再将该模板和参数传给底层驱动（如 mysql2 的
query(sql, params)），由驱动完成预编译与绑定 - 注意：标签函数不能绕过驱动限制，比如
IN (?, ?, ?)仍需动态生成占位符个数，不能靠标签函数自动推断
真正有效的防护方式只有参数化查询
不同环境应严格使用对应数据库支持的参数化机制，模板字符串仅用于组织可读性更好的 SQL 模板（不含用户输入）：
-
Node.js（mysql2）：
conn.query('SELECT * FROM users WHERE status = ? AND age > ?', [status, minAge]) -
Python（SQLite/PostgreSQL）：
cursor.execute("SELECT * FROM logs WHERE level = ? AND ts > ?", (level, since)) -
Java（JDBC）：用
PreparedStatement，setString(1, userInput)显式绑定 -
禁止场景：字段名、表名、ORDER BY 子句等动态结构不可参数化，必须白名单校验后硬编码，不能塞进
${}
额外提醒：ORM 不等于自动免疫
即使使用 Sequelize、TypeORM 或 SQLAlchemy，只要调用了原生查询接口（如 raw()、text()、execute()）并拼接字符串，依然存在风险。务必确认所用方法底层是否走参数化路径。
