的额外

Question

我想使用单个INSERT查询插入多行，例如：

INSERT INTO tmp(col_a,col_b) VALUES('a1','b1'),('a2','b2')...

有没有办法轻松地做到这一点，最好是这样的对象数组：

[{col_a:'a1',col_b:'b1'},{col_a:'a2',col_b:'b2'}]

我可能最终在一个块中有500条记录，因此运行多个查询是不可取的。

到目前为止，我只能为一个对象执行此操作：

INSERT INTO tmp(col_a,col_b) VALUES(${col_a},${col_b})

作为一个附带问题：使用${}表示法的插入是否可以防止SQL注入？

Answer 1

我是pg-promise的作者。

在旧版本的库中，Performance Boost文章中的简化示例涵盖了这一点，在编写高性能数据库应用程序时，这仍然是一个重要的读物。

更新的方法是依靠helpers namespace，这最终是灵活的，并且针对性能进行了高度优化。

const pgp = require('pg-promise')({
    /* initialization options */
    capSQL: true // capitalize all generated SQL
});
const db = pgp(/*connection*/);

// our set of columns, to be created only once, and then shared/reused,
// to let it cache up its formatting templates for high performance:
const cs = new pgp.helpers.ColumnSet(['col_a', 'col_b'], {table: 'tmp'});

// data input values:
const values = [{col_a: 'a1', col_b: 'b1'}, {col_a: 'a2', col_b: 'b2'}];

// generating a multi-row insert query:
const query = pgp.helpers.insert(values, cs);
//=> INSERT INTO "tmp"("col_a","col_b") VALUES('a1','b1'),('a2','b2')

// executing the query:
db.none(query)
    .then(data => {
        // success;
    })
    .catch(error => {
        // error;
    });

请参阅API：ColumnSet，insert。

这样的插入甚至不需要事务，因为如果一组值无法插入，则不会插入任何值。

您可以使用相同的方法生成以下任何查询：

单行INSERT
多行INSERT
单行UPDATE
多行UPDATE

使用$ {}表示法的插入是否受到sql注入的保护？

是的，但并不孤单。如果要动态插入模式/表/列名称，请务必使用SQL Names，它们将保护您的代码免受SQL注入。

相关问题：PostgreSQL multi-row updates in Node.js

的额外

问：如何同时获取每条新记录id

答：只需将RETURNING id附加到您的查询中，然后使用方法many执行它：

const query = pgp.helpers.insert(values, cs) + 'RETURNING id';

db.many(query)
    .then(data => {
        // data = [{id: 1}, {id: 2}, ...]
    })
    .catch(error => {
        // error;
    });

甚至更好，获取id-s，并使用方法map将结果转换为整数数组：

db.map(query, [], a => +a.id)
    .then(data => {
        // data = [1, 2, ...]
    })
    .catch(error => {
        // error;
    });

要了解我们在那里使用+的原因，请参阅：pg-promise returns integers as strings。

<强> UPDATE-1

要插入大量记录，请参阅Data Imports。

<强> UPDATE-2

使用v8.2.1及更高版本，您可以将静态查询生成包装到函数中，因此可以在查询方法中生成它，以便在查询生成失败时拒绝：

// generating a multi-row insert query inside a function:
const query = () => pgp.helpers.insert(values, cs);
//=> INSERT INTO "tmp"("col_a","col_b") VALUES('a1','b1'),('a2','b2')

// executing the query as a function that generates the query:
db.none(query)
    .then(data => {
        // success;
    })
    .catch(error => {
        // error;
        // will get here, even if the query generation fails
    });

Answer 2

尝试https://github.com/datalanche/node-pg-format - 例如

var format = require('pg-format');

var myNestedArray = [['a', 1], ['b', 2]];
var sql = format('INSERT INTO t (name, age) VALUES %L', myNestedArray); 
console.log(sql); // INSERT INTO t (name, age) VALUES ('a', '1'), ('b', '2')

与对象数组类似。

具有pg-promise的多行插入

2 个答案:

的额外