SELECT WHERE IN w node-mysql

Question

Czy ktoś wie, jak używać SELECT WHERE IN w node-mysql?

Próbowałem poniższy kod, ale pojawia się następujący komunikat o błędzie:

'You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''(`PHP`,`apache`)'' at line 1' 

To jest mój kod:

whereIn = '('; 
for (var i in tagArray) { 
    if (i != tagArray.length - 1) { 
     whereIn += "`" + tagArray[i] + "`,";  
    }else{ 
     whereIn += "`" + tagArray[i] + "`"; 
    } 
} 
whereIn += ')'; 

console.log(whereIn); 

client.query(
    'SELECT tag_id FROM tag WHERE tag_name IN ?', 
    [whereIn], 
    function(err, result, fields) { 
     client.destroy(); 

     if (err) { 
      throw err; 
     } 

     console.log(result); 

     res.redirect('/'); 
    } 
); 

Answer 1

trzeba zacytować swoje struny, nie używać odwrócone, pojedyncze apostrofy.

whereIn = '('; 
for (var i in tagArray) { 
    if (i != tagArray.length - 1) { 
     whereIn += "'" + tagArray[i] + "',";  
    }else{ 
     whereIn += "'" + tagArray[i] + "'"; 
    } 
} 
whereIn += ')'; 

Answer 2

Musisz użyć IN (?) i nie IN ?.

Dowolne manipulowanie ciągami znaków może spowodować utworzenie backdoora SQL INJECTION.

Answer 3

Roztwór roboczy:

client.query(
    'SELECT tag_id FROM tag WHERE tag_name IN ?', 
    [tagArray], 
    function(err, result, fields) { 
     client.destroy(); 

     if (err) { 
      throw err; 
     } 

     console.log(result); 

     res.redirect('/'); 
    } 
); 

Nie trzeba ręcznie zawijać tagArray w cudzysłowach. Znika przez moduł mysql.

Answer 4

Aby uzyskać bezpieczniejsze rozwiązanie, unikając konieczności ucieczki od wartości, użyj? podobne do normalnych czynności, ale dynamiczne tworzenie takich symboli zastępczych:

var inlist = ''; 
for(var i=0; i<ids.length; i++) { 
    inlist += '?,'; 
} 
inlist = inlist.substring(0,inlist.length-1); 

var sql = 'SELECT a, b, c FROM mytable WHERE id in (' + inlist + ')'; 

conn.query(sql, ids, function(err, rows) { 
    . . . 
})