本文详解如何在 typeorm 中安全、动态地向查询构建器添加多个 `andwhere` 条件，重点解决因对象键名动态化导致的参数绑定语法错误（如 `syntax error at or near ":"`），并提供可复用的最佳实践代码。
在使用 TypeORM 的 QueryBuilder 实现前端表格动态过滤时，常需根据运行时传入的键值对（如 {Location: 'Seattle', Status: 'Active'}）逐个追加 andWhere 条件。但若直接拼接动态参数名（如 :${varname}）却未正确绑定其对应值，极易触发 SQL 解析错误——典型表现即 QueryFailedError: syntax error at or near ":"。
根本原因在于：TypeORM 要求命名参数对象的键名必须与 SQL 字符串中 : 后的标识符完全一致。而原代码中：
query.andWhere(`row_value.row_data->> '${key}' ILIKE :${varname}`, {varname: `%${searchVal}%`})虽然占位符写成了 :${varname}（例如 :searchVal1），但参数对象却使用了字面量键 'varname'，导致 TypeORM 实际查找的是 :varname，而非预期的 :searchVal1，从而解析失败。
✅ 正确做法是：使用计算属性名（Computed Property Names）动态生成参数对象的键：
const query = this.tableRepository.createQueryBuilder('myTable')
.where('myTable.id = :id', { id: table_id }); // 注意：原代码中变量名应为 id，非 table_id
let index = 1;
for (const [key, value] of Object.entries(myObj)) {
const paramName = `searchVal${index++}`;
query.andWhere(
`row_value.row_data->> '${key}' ILIKE :${paramName}`,
{ [paramName]: `%${value}%` } // ✅ 关键修正：使用 [paramName] 动态设键
);
}? 重要注意事项：
-
SQL 注入防护：示例中 key 直接拼入 SQL 字符串（'${key}'），仅适用于完全受信的字段名（如预定义的列白名单）。若 key 来自用户输入，必须先校验其是否属于允许的 JSON 键列表，否则存在 SQL 注入风险。推荐方案：
const allowedKeys = ['Location', 'Status', 'Department']; if (!allowedKeys.includes(key)) { throw new BadRequestException(`Invalid filter key: ${key}`); } - 大小写与空格敏感性：ILIKE 是 PostgreSQL 特有操作符（不区分大小写模糊匹配）。若使用 MySQL 或 SQLite，需替换为 LIKE 并手动处理大小写（如 LOWER(...)）。
- JSON 路径安全性：row_data->> '${key}' 假设 row_data 是 jsonb/json 类型字段。确保数据库字段类型匹配，且 key 不含单引号或特殊字符（再次强调白名单校验）。
-
性能提示：对 JSON 字段的 ->> 和 ILIKE 查询无法高效利用 B-tree 索引。如过滤高频，建议为常用键创建生成列并建立索引，例如：
ALTER TABLE my_table ADD COLUMN location_text TEXT GENERATED ALWAYS AS (row_data->>'Location') STORED; CREATE INDEX idx_location_text ON my_table USING GIN (location_text gin_trgm_ops);
总结：动态 andWhere 的核心在于 “占位符名称” 与 “参数对象键名” 的严格一致性，通过 [paramName] 语法实现动态键绑定是 TypeORM 的标准解法。结合字段白名单校验与数据库索引优化，即可构建出既安全又高效的动态查询逻辑。
