如何使用参数化查询防止SQL注入-SQL-PHP中文网

参数化查询仅对用户输入的“值”有效，表名、列名、ORDER BY字段等语法结构不可参数化，必须通过白名单校验或QUOTENAME()安全处理；IN列表需按实际数量生成固定占位符并逐个绑定。

如何使用参数化查询防止sql注入

参数化查询能防SQL注入，但只对“值”有效；表名、列名、排序方向这些语法成分不能参数化，硬拼就等于开门揖盗。

哪些地方必须用参数，哪些绝对不能

数据库引擎强制区分“结构”和“数据”，WHERE id = ?、INSERT INTO users (name, email) VALUES (?, ?) 这类值的位置才能进参数。但以下位置根本不可能支持占位符：

ORDER BY ? → 报错 Incorrect syntax near '?'
SELECT ? FROM users → 列名不是数据，不被接受
FROM ? 或 JOIN ? ON ... → 表名属于语法骨架，无法参数化
LIMIT ?（MySQL）或 OFFSET ? → 虽是数字，但属执行计划控制部分，需强转+范围校验后拼接

动态列名和排序字段怎么安全处理

用户传 sort=name&order=desc，不能直接拼成 ORDER BY name DESC。得先映射到白名单：

var allowedSortCols = new Dictionary<string string>
{
    ["name"] = "user_name",
    ["time"] = "created_at",
    ["status"] = "status_code"
};
var sortCol = allowedSortCols.GetValueOrDefault(userSortInput, "id");
var sortOrder = userOrderInput?.ToUpper() == "DESC" ? "DESC" : "ASC";</string>

再拼：ORDER BY {sortCol} {sortOrder}。注意两点：

白名单必须覆盖所有可能输入，不能只校验 ASC/DESC 却放行任意 sort 值
映射后的列名要确认真实存在且类型兼容，比如把 "time" 映射成 "created_at"，别映射成 "(SELECT password FROM admins)"

IN 列表变长参数怎么写才安全

WHERE id IN (@p1, @p2, @p3) 是唯一合规写法，WHERE id IN (@ids) 直接报错或查不到结果。

APIMart

APIMart是一款AI工具，一站式 AI API 平台，多主流模型统一访问。

下载

前端传数组 [101, 205, 309]，服务端生成对应数量的占位符串：@p0, @p1, @p2
SQL 模板里写死占位符，不能动态拼 IN ({placeholders})
逐个绑定：cmd.Parameters.Add("@p0", SqlDbType.Int).Value = 101，别用 AddWithValue
如果 ID 数量超过几百个，考虑改用临时表 + 表值参数（SQL Server）或 UNNEST(ARRAY[...])（PostgreSQL）

存储过程里动态 SQL 怎么写才不裸奔

EXEC(@sql) 等于放弃防御。正确做法是用 sp_executesql 配合 QUOTENAME() 和显式参数声明：

DECLARE @sql NVARCHAR(MAX) = 
    'SELECT * FROM ' + QUOTENAME(@table_name) + 
    ' WHERE status = @status';
EXEC sp_executesql @sql, N'@status INT', @status = @input_status;

关键点：