请问大神，这种操作“骚不骚”？

看到一个关于数据库操作的，各位大神鉴定一下。 1，首先是file 定义。 File Customer, 有几个fields, 比如，CustNo, CustName, CustAddr, CustPhone,

2，然后，定义一个model,

Class Customer {
....
async getData(custNo, Fields){
let SQL = "SELECT " + Fields +" FROM Customer where CustNo ='" + custNo +"'";
return await Dbpool.RunSQLQuery(SQL);
...
}
}

3,使用 model,
let customer =  new Customer();
let customerName = await customer.getData(CustNo, "CustName");
...

这样我就可以想访问哪个fields就访问哪个，多方便啊。有大神来指点一下优缺点吗？请无视各种语法错误，主要是这个思路好不好？

waitingsong 1楼•12 天前

自造轮子初级拼字符串模式，有注入风险。不如用query builder.

yfsoftcom 2楼•12 天前

自己用没什么问题，给别人用会存在注入的风险;

比如 Fields 是： 1 from dual; delete from Customer; select *; 那么生成出来之后会变成: SELECT 1 from dual; TRUNCATE Order User; select * FROM Customer where CustNo ='${custNo}';

这就被sql注入了，你的 Order， User 表中的数据就没了。

这就是一中非常简单的注入方式，可有很多办法来解决，比如：