filter() 和 filter_by() 安全，但仅限字段名硬编码且值全用绑定参数；text() 需严格使用 :name 占位符+字典传参，并对动态结构白名单校验。

filter() 和 filter_by() 真的安全吗？

安全，但仅限于字段名硬编码、值全走绑定参数的场景。它们底层构造表达式树，最终生成带 %s 或 :name 占位符的预编译语句，数据库驱动把用户输入当纯数据传入——不解析、不重编译。

这些写法是安全的：

• filter_by(username=request.args.get("u"))：字段名 username 是字面量，只支持等值匹配
• filter(User.status == request.args.get("status"), User.created_at > now)：所有右侧值（含 None、datetime、字符串）都进参数绑定

这些写法立刻失效：

• filter(User.name.like(f"%{q}%"))：f-string 在 Python 层已拼出完整 SQL 片段，like() 不接管参数化
• filter(text("name = '" + q + "'"))：绕过 ORM，直接交字符串给数据库

text() 是安全边界断裂点，怎么用才不翻车？

text() 本身不解析 SQL，只原样转发。安全与否，全看你怎么传参。

错误写法（全部高危）：

• text(f"SELECT * FROM users WHERE id = {user_id}")
• text("WHERE name = '" + name + "'")
• text("ORDER BY " + sort_field)：哪怕 sort_field 是 "id ASC; DROP TABLE users--"，也会执行

正确写法（必须同时满足）：

• 占位符用 :name 形式，?name 或 %s 在 text() 中无效
• 第二个参数必须是字典，如 {"name": name, "status": "active"}；不能用元组（易错位），也不能用 **locals()（键名可能不匹配）
• 动态结构部分（如 ORDER BY 字段）必须白名单校验：if sort_field not in ["id", "created_at", "username"]: raise ValueError("Invalid sort field")

db.session.execute() 的两种调用方式风险天差地别

新手常误以为用了 Flask-SQLAlchemy 就自动免疫，结果在裸字符串拼接里翻车。

python-flask-vue-creator

创建 Flask + Vue.js 全栈项目，采用单端口架构、uv 依赖管理、结构化日志和生产级前端设计。当用户要求以下操作时触发：创建新的 Flask+Vue 项目、搭建 Web 应用、构建全栈 Python+Vue 应用、初始化 Flask Web 项目、设置单端口 Flask 前后端项目。触发词：新建项目、创建项目、搭建项目、Flask项目、Vue项目。

下载

危险写法（完全绕过参数机制）：

• db.session.execute("UPDATE users SET status = 'active' WHERE id = {}".format(user_id))
• db.session.execute(f"DELETE FROM logs WHERE ts

安全写法只有两类：

• ORM 对象操作：user.status = "active"; db.session.commit()
• 带参数的 text()：db.session.execute(text("UPDATE users SET status = :status WHERE id = :id"), {"status": "active", "id": user_id})

注意：db.session.connection().execute() 同样要遵守参数化规则，比如 conn.execute("SELECT * FROM users WHERE id = %s", [1])（PostgreSQL）或 conn.execute("SELECT * FROM users WHERE id = ?", [1])（SQLite）。

哪些东西根本不能参数化？白名单校验为什么不可省略

表名、列名、ORDER BY 字段、GROUP BY、LIMIT 偏移量——这些属于 SQL 查询结构，在数据库解析阶段就决定执行计划，协议层面禁止作为参数传入。这不是 SQLAlchemy 的限制，是 PostgreSQL/MySQL/SQLite 的共性硬约束。

所以这些必须白名单校验：

• getattr(User, field) 前检查 field in User.__table__.columns.keys()
• order_by(request.args.get("sort")) 前过滤字段和方向：if sort not in ["id", "created_at"] or direction not in ["ASC", "DESC"]
• 动态表名（如分表场景）必须从预定义列表中取：table_name = {"log_2026": Log2026, "log_2025": Log2025}.get(year_suffix)

别信 replace("'", "''") 或正则删 --，十六进制编码、Unicode 变体、盲注都可绕过。白名单是唯一可靠手段。