javascript - 在使用转义函数时也使用字符串插值来构建 sql 查询是不好的做法吗？

Question

有人说在使用转义函数时使用字符串插值也是不好的做法：

const db = require('./config);
...
`SELECT * from Users where username=${db.escape(username)}`

但这真的是不好的做法吗？我的意思是我仍在转义变量，还是上面的查询有其他问题？我现在真的不确定。

标签： javascriptmysqlsqlnode.js