Postgres，nodejs SELECT查詢

Question

我有一個sqlquery，它是：client.query("SELECT * FROM my_table WHERE my_varchar='userInput'")。

userInput = req.body.userInput它從玉文件中的輸入框中讀取。

不管我用不同的''或""圍繞變量嘗試什麼，我得到它會從每個輸入或每個輸入生成一個錯誤似乎是正確的，儘管該表不存在該輸入。

任何幫助，將不勝感激！

Answer 1

正常的答案是不要那樣做！插入原始用戶輸入是被黑客入侵的好方法。你真的有輸入值嗎？

代替：

console.log("User Input is "+ userInput); // or add debug lib and debug("User Input.... 
client.query("SELECT * FROM my_table WHERE my_varchar = $1", [userInput]); 

而且從命令提示符