mito/sxql的SQL注入安全性探究及相关用法疑问

1. mito:retrieve-dao 的安全性 #

• 完全安全，不存在SQL注入风险。
• 实现逻辑：作为Mito封装的DAO查询接口，它会自动将传入的键值对查询条件转换为参数化查询，底层通过Prepared Statement绑定值，不会直接将用户输入拼接进SQL语句。

2. 基于SXQL构建查询的 mito:retrieve-by-sql 的安全性 #

• 只要遵循SXQL的参数化语法传值，就完全安全。
• 实现逻辑：SXQL的设计核心是生成参数化SQL，当你使用?占位符或通过:binds传递动态值时，它会将SQL结构与参数分离，Mito调用时会把参数交给数据库驱动的Prepared Statement执行，避免直接拼接。
• 注意：如果手动将用户输入字符串直接插入SXQL表达式（比如用逗号直接拼接变量），仍会存在注入风险，必须使用SXQL的参数化方式传递动态值。

3. 底层实现核心 #

• Mito依赖CL-DBI作为数据库驱动层，所有参数化查询最终通过dbi:execute方法执行，该方法会自动处理Prepared Statement的参数绑定，将SQL语句与参数分开发给数据库，由数据库安全解析执行。
• SXQL负责生成SQL抽象语法树，最终输出带占位符的SQL字符串和对应的参数列表，再交由Mito/CL-DBI处理。

内容的提问来源于stack exchange，提问作者pbm