无法使用预编译语句时，如何在Python中创建安全SQL字符串？

1. 仅用sql_string.replace("'", "''")的安全性分析 #

完全不安全，存在明确的绕过风险：

• 反斜杠绕过：若目标数据库（如PostgreSQL旧版本）启用了非标准字符串转义规则，用户输入\\'时，replace仅将单引号转为两个，但反斜杠会被数据库解析为转义符，最终实际等效于单引号，触发注入。
• 通配符注入：如果是LIKE查询场景，用户输入%或_这类通配符，replace无法处理，会导致查询匹配所有数据，违背预期的精确匹配逻辑。
• 多字节编码绕过：部分数据库在特定编码下，多字节字符可能被解析为单引号的等效形式，绕过单引号替换逻辑。

2. 可行的替代方案 #

（1）模拟目标数据库的参数转义逻辑（类似mogrify） #

针对目标数据库的语法规则，手动实现参数转义函数，以PostgreSQL为例：

def pg_escape_string(value):
    if isinstance(value, str):
        # 处理单引号转义，PostgreSQL用双单引号表示单引号
        escaped = value.replace("'", "''")
        # 若数据库使用非standard_conforming_strings模式，需额外转义反斜杠
        # escaped = escaped.replace("\\", "\\\\")
        return f"'{escaped}'"
    # 数字/布尔等类型直接转字符串，无需引号
    return str(value)

# 使用示例
user_input = "John O'Neil"
query = f"SELECT * FROM users WHERE name ILIKE {pg_escape_string(user_input)}"
# 生成安全查询：SELECT * FROM users WHERE name ILIKE 'John O''Neil'

注意：不同数据库转义规则不同（如MySQL用\转义单引号），需根据第三方实际使用的数据库调整逻辑。

（2）轻量级SQL参数化工具辅助 #

无需完整数据库连接的工具可简化实现：

• 使用sqlparse解析SQL结构，安全替换参数位置；
• 纯Python数据库驱动（如pg8000 for PostgreSQL），无需系统依赖，可直接调用其参数转义方法；
• 用Jinja2模板配合自定义转义过滤器，规范参数拼接：

  from jinja2 import Template
  
  template = Template("SELECT * FROM users WHERE name ILIKE {{ input|pg_escape }}")
  safe_query = template.render(input="John O'Neil", pg_escape=pg_escape_string)
  

（3）白名单验证（针对列名/表名输入） #

若用户输入涉及列名、表名这类SQL结构元素，单引号转义完全无效，必须用白名单限制：

allowed_columns = ["name", "email", "id"]
user_column = "name"
if user_column not in allowed_columns:
    raise ValueError("非法列名")
safe_query = f"SELECT {user_column} FROM users WHERE id = {pg_escape_string(user_id)}"

3. 无需数据库连接实现类似mogrify的效果 #

psycopg2的mogrify依赖数据库连接的配置（如字符集、转义规则），无连接时只能手动模拟对应数据库的参数处理逻辑——本质就是上面提到的pg_escape_string这类专用转义函数，通过复现数据库的参数格式化规则，实现安全的SQL拼接。

总结 #

• 绝对不能仅依赖replace("'", "''")作为防护手段；
• 优先实现目标数据库的专用参数转义函数，或借助轻量级工具；
• 区分输入类型：值用转义+引号，结构元素（列名/表名）用白名单；
• 持续推动第三方支持预编译语句，这是最安全的长期方案。

内容的提问来源于stack exchange，提问作者rustinpeace91