使用预处理语句时 LIMIT 和 ORDER BY 的安全处理指南-php教程-PHP中文网

使用预处理语句时 LIMIT 和 ORDER BY 的安全处理指南

预处理语句无法直接参数化 limit 和 order by 子句，因此需通过类型校验、白名单映射和动态拼接等安全方式构造 sql，防止 sql 注入。

预处理语句无法直接参数化 limit 和 order by 子句，因此需通过类型校验、白名单映射和动态拼接等安全方式构造 sql，防止 sql 注入。

在 SQL 开发中，预处理语句（Prepared Statements）是防御 SQL 注入的黄金标准——它通过将 SQL 结构与数据严格分离，确保用户输入仅作为值参与执行，而非代码的一部分。然而，并非所有 SQL 语法位置都支持参数占位符（如 ? 或 $1）。LIMIT 和 ORDER BY 就是典型例外：绝大多数数据库（如 MySQL、PostgreSQL、SQLite）明确禁止在这些子句中使用参数化值。

例如，以下写法在 MySQL 中会报错：

SELECT * FROM users ORDER BY ? LIMIT ?;  -- ❌ 语法错误：ORDER BY 和 LIMIT 不接受参数占位符

✅ 正确做法是：对 LIMIT 做强类型校验 + 范围限制；对 ORDER BY 做白名单映射或枚举校验。

✅ 安全处理 LIMIT

LIMIT 接收的是整数（可选带偏移量，如 LIMIT 10, 20），因此必须：

显式转换为整型（拒绝浮点、字符串、null）；
校验非负性及合理上限（如单页最多 100 条）；
使用 intval()（PHP）、parseInt()（JS 后端）、int()（Python）等强制转换后二次校验。

示例（Python + psycopg2）：

def get_users(page: int = 1, page_size: int = 20) -> list:
    # 强校验：转整型 + 范围控制
    offset = max(0, (page - 1) * page_size)
    limit = max(1, min(100, page_size))  # 限流防滥用

    query = "SELECT * FROM users ORDER BY id DESC LIMIT %s OFFSET %s"
    return execute_query(query, (limit, offset))

✅ 安全处理 ORDER BY

ORDER BY 后需跟列名或表达式，不能直接参数化。风险在于：若将用户输入的 "name ASC; DROP TABLE users" 直接拼入 SQL，将导致注入。

推荐方案：列名白名单映射

# 定义合法排序字段映射（键为前端传入标识，值为真实列+方向）
SORT_OPTIONS = {
    "1": "created_at DESC",
    "2": "username ASC",
    "3": "email ASC",
}

sort_key = request.args.get("sort", "1")
order_clause = SORT_OPTIONS.get(sort_key, "created_at DESC")

query = f"SELECT * FROM users ORDER BY {order_clause} LIMIT %s"
return execute_query(query, (limit,))