SQLite 不支持使用参数占位符（如 ?）为表名赋值，必须通过字符串格式化拼接；但需确保变量来源可信（如 session 中的 user_id），避免 SQL 注入风险。
sqlite 不支持使用参数占位符（如 `?`）为表名赋值，必须通过字符串格式化拼接；但需确保变量来源可信（如 session 中的 user_id），避免 sql 注入风险。
在 Web 应用中动态创建以用户 ID 命名的配置表（例如 system123）是一种常见需求，但直接将变量传入 CREATE TABLE ? (...) 会导致 sqlite3.OperationalError: near "?": syntax error —— 因为 SQLite 的参数化查询仅支持数据值绑定，不支持标识符（如表名、列名、关键字）的参数化。
✅ 正确做法是：在确认变量来源安全的前提下，使用字符串格式化构造 DDL 语句。本例中 user_id 来自 session["user_id"]，属于服务端可控、非用户直输字段，因此可视为可信输入。
以下是修正后的核心逻辑（含关键防护说明）：
@app.route("/setup", methods=["GET", "POST"])
def setup():
if request.method == "POST":
user_id = str(session.get("user_id"))
# 【关键校验】防止非法字符注入（增强健壮性）
if not user_id or not user_id.isdigit():
raise ValueError("Invalid user_id: must be a non-empty digit string")
system_name = f"system{user_id}"
# 先查 systems 元数据表确认是否已存在
cur.execute("SELECT system_name, ready, modified FROM systems WHERE user_id = ?", (user_id,))
system_info = cur.fetchone()
if not system_info:
# 写入元数据
cur.execute("INSERT INTO systems (user_id, system_name) VALUES (?, ?)", (user_id, system_name))
# ✅ 安全拼接：使用 f-string 或 .format() 构造 CREATE TABLE 语句
create_table_sql = f"""
CREATE TABLE {system_name} (
attribute_name TEXT NOT NULL,
type TEXT NOT NULL,
min INTEGER NOT NULL DEFAULT(0),
max INTEGER NOT NULL DEFAULT(0),
length_depend BOOLEAN DEFAULT(FALSE)
)
"""
cur.execute(create_table_sql)
⚠️ 重要注意事项：
- 绝不拼接不可信输入：若 user_id 来自 request.args、request.form 或任何客户端直传字段，必须先做严格白名单校验（如正则 ^[a-zA-Z0-9_]{1,32}$）或哈希映射，禁止直接拼接；
- 避免保留字冲突：SQLite 表名若可能与关键字（如 system, order）重名，建议统一加前缀（如 cfg_system{user_id}）或用方括号包裹（SQLite 不支持 [...]，可用双引号 "system123"）；
- 事务与错误处理：生产环境应包裹 try...except 并启用事务，确保元数据插入与建表原子性；
- 替代方案考虑：长期来看，更推荐「单表多租户」设计（如所有配置存于 attributes 表，加 user_id 字段），避免大量动态表带来的维护复杂度。
综上，动态表名并非反模式，但在 SQLite 中需绕过参数化限制，并以代码层校验代替 SQL 层防护 —— 安全是设计出来的，而非默认存在的。
