如何使用postgresql和nodejs将变量安全地插入数组?

pg支持开箱即用序列化数组参数:

await pool.query(`UPDATE profiles SET friends = friends || $1`, [[newFriend]]);

您还可以在查询端使用 array constructor :

await pool.query(`UPDATE profiles SET friends = friends || ARRAY[$1]`, [newFriend]);

无论哪种方式,您都可以避免手动使用数组的文本表示,这是理想的。

数组连接运算符也可以直接处理单个元素,但我觉得这有点不舒服。

// substitute `text` with the underlying type of the array, if not `text`
await pool.query(`UPDATE profiles SET friends = friends || $1::text`, [newFriend]);