SELECCIONE DONDE IN en node-mysql

Question

¿Alguien sabe cómo usar SELECT WHERE IN en node-mysql?

he probado el código de abajo, pero me sale el siguiente mensaje de error:

'You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''(`PHP`,`apache`)'' at line 1' 

Este es mi código:

whereIn = '('; 
for (var i in tagArray) { 
    if (i != tagArray.length - 1) { 
     whereIn += "`" + tagArray[i] + "`,";  
    }else{ 
     whereIn += "`" + tagArray[i] + "`"; 
    } 
} 
whereIn += ')'; 

console.log(whereIn); 

client.query(
    'SELECT tag_id FROM tag WHERE tag_name IN ?', 
    [whereIn], 
    function(err, result, fields) { 
     client.destroy(); 

     if (err) { 
      throw err; 
     } 

     console.log(result); 

     res.redirect('/'); 
    } 
); 

Answer 1

Es necesario citar sus cadenas, no use acentos abiertos.

whereIn = '('; 
for (var i in tagArray) { 
    if (i != tagArray.length - 1) { 
     whereIn += "'" + tagArray[i] + "',";  
    }else{ 
     whereIn += "'" + tagArray[i] + "'"; 
    } 
} 
whereIn += ')'; 

Answer 2

usted tiene que utilizar IN (?) y NO IN ?.

Cualquier manipulación de cadenas puede dar como resultado una puerta trasera SQL INJECTION.

Answer 3

una solución de trabajo:

client.query(
    'SELECT tag_id FROM tag WHERE tag_name IN ?', 
    [tagArray], 
    function(err, result, fields) { 
     client.destroy(); 

     if (err) { 
      throw err; 
     } 

     console.log(result); 

     res.redirect('/'); 
    } 
); 

No hay necesidad de ajustar manualmente tagArray entre comillas. Es escapado por el módulo mysql.

Answer 4

Para una solución más segura que evita tener que escapar de valores, ¿usar? params como lo haría normalmente, pero cree los marcadores de posición param dinámicamente como este:

var inlist = ''; 
for(var i=0; i<ids.length; i++) { 
    inlist += '?,'; 
} 
inlist = inlist.substring(0,inlist.length-1); 

var sql = 'SELECT a, b, c FROM mytable WHERE id in (' + inlist + ')'; 

conn.query(sql, ids, function(err, rows) { 
    . . . 
})