彻底消除动态SQL拼接是防御SQL注入的底线，因表名、列名、ORDER BY、GROUP BY、LIMIT/OFFSET、UNION结构等均属SQL语法而非值，无法参数化，必须用白名单校验或拒绝外部输入。
动态SQL里哪些地方绝对不能参数化
表名、列名、ORDER BY字段、GROUP BY字段、LIMIT/OFFSET数值、UNION子句结构——这些都不是“值”，而是SQL语法的一部分，数据库引擎根本不允许用@param或?占位。硬要写SELECT * FROM @table_name，SQL Server会直接报Incorrect syntax near '@'，MySQL报You have an error in your SQL syntax。
常见错误是以为“用了参数就安全了”，结果把用户传的sort=users; DROP TABLE users--塞进ORDER BY @sort_col，发现语法不通，就退回去拼字符串：'ORDER BY ' + @sort_col。这等于把门钥匙亲手交给攻击者。
- 白名单必须覆盖全部合法输入：比如只允许
['id', 'created_at', 'status']，连user_id这种看似合理但没列在白单里的字段也得拒掉 - 校验要放在拼接前，不是拼完再
REPLACE(@input, '''', '''''')——这种转义对;、--、/*完全无效 - 别信
QUOTENAME()能兜底：它只处理标识符边界，对sys.tables; DROP TABLE logs这种带分号的输入无能为力
IN列表怎么安全绑定变长参数
WHERE id IN (@ids)是无效写法，所有主流数据库都不支持把数组直接当一个参数传。错误做法是拼成WHERE id IN ('1','2','3')，或者用STRING_AGG生成字符串再执行——这两条路都绕回字符串拼接，注入风险拉满。
正确路径分两步走：先确定参数个数，再逐个绑定。
- 前端传
[101, 205, 309]，后端生成固定占位符串：WHERE id IN (@p0, @p1, @p2) - 循环调用
cmd.Parameters.Add("@p0", SqlDbType.Int).Value = 101，类型必须显式声明，禁用AddWithValue - 如果ID数量可能超2000（SQL Server限制），改用表值参数或临时表，而不是拆成多个查询
存储过程里动态SQL的底线操作
用EXEC(@sql)等于放弃防御。唯一合规路径是sp_executesql，且参数声明和值传递必须分离。
错误示例：DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM ' + @table + ' WHERE name = ''' + @name + ''''; EXEC(@sql)——哪怕@name被REPLACE过，@table一拼接就全盘崩溃。
- 表名必须走白名单或系统视图校验：
IF NOT EXISTS (SELECT 1 FROM sys.tables WHERE name = @table_name AND schema_id = SCHEMA_ID('dbo')) RAISERROR(...) - SQL模板里只拼接已验证的标识符，所有值一律进参数：
DECLARE @sql = N'SELECT * FROM ' + QUOTENAME(@table_name) + N' WHERE status = @status' - 参数列表必须硬编码声明：
N'@status VARCHAR(20)'，绝不能拼N'@status VARCHAR(20) = ''' + @status + ''' '
ORM里raw()和extra()为什么比手写SQL还危险
Django的extra()、SQLAlchemy的text()、MyBatis的${}不是“高级功能”，而是注入高危区。它们绕过ORM的参数化机制，直接把字符串喂给数据库驱动。
典型翻车现场：User.objects.extra(where=["name LIKE '%" + keyword + "%'"])，和conn.execute("SELECT * FROM user WHERE name = '" + name + "'")毫无区别。
-
filter(name__icontains=keyword)安全，extra()里混入任何变量都不安全 -
text("SELECT * FROM users WHERE id = :id")安全，text(f"SELECT * FROM {table}")不安全 - Spring Data JPA的
@Query(value = "...", nativeQuery = true)里所有变量必须用:param，禁止+或f-string
真正容易被忽略的点：动态排序、动态字段投影、多租户schema切换——这些场景下，开发者常因“只是换个别名”放松警惕，却忘了别名也是语法结构，必须白名单兜底。
