Python执行DB2查询时如何参数化表名以规避SQL注入

SQL参数化仅适用于查询中的值（比如WHERE子句里的条件），不能直接用于表名、列名这类标识符，这就是你参数化尝试无效的原因。shlex.quote是针对shell命令的转义规则设计的，和SQL的标识符转义逻辑不匹配，所以也起不到作用。下面是两种可靠的解决方案：

1. 白名单验证（最安全） #

既然你的表名是从“表列表”读取的，直接把这个列表设为可信白名单，只允许使用列表内的表名，完全杜绝注入风险：

# 预先定义允许访问的表名白名单
ALLOWED_TABLES = {"users", "orders", "products", "your_table_list"}

# 从外部读取的表名
input_table = "xxx"

if input_table not in ALLOWED_TABLES:
    raise ValueError(f"不允许访问的表名: {input_table}")

# 拼接SQL（已通过白名单验证，无注入风险）
sql = f"select count(*) as num_rows from {input_table}"

2. DB2标识符转义（动态表名场景） #

如果必须处理不在预定义白名单内的表名，需要按照DB2的语法规则转义标识符：DB2用双引号包裹标识符，内部的双引号要转义为两个双引号，这样可以避免注入：

def escape_db2_table_name(table_name):
    # 转义表名中的双引号，再用双引号包裹
    escaped_name = table_name.replace('"', '""')
    return f'"{escaped_name}"'

input_table = "xxx"
safe_table = escape_db2_table_name(input_table)

sql = f"select count(*) as num_rows from {safe_table}"

注意事项 #

• 使用双引号包裹表名时，DB2会严格区分大小写，要确保转义后的表名和数据库中实际的表名大小写一致（如果创建表时没加双引号，DB2默认会把表名转为大写）。
• 永远优先选择白名单方案，转义只是次选——因为转义逻辑可能因数据库版本、配置变化出现疏漏，而白名单从根源上避免了注入可能。

内容的提问来源于stack exchange，提问作者Muradin