如何在SQLite语句中注入Bash变量？及方案合理性咨询

我在用代码质量分析工具scc遍历GitLab仓库做代码分析，工具会先创建SQLite表，每次循环往表里写一行数据。现在想在每次写入数据后加一个额外列，把随循环变化的变量内容作为该列的条目。

示例 #

• 循环迭代1：
  $repository = project1
  分析输出表包含Project、File、nCode、nComment列，对应数据行是Yellow、yellow.py、5、1；添加httpUrlToRepo列后，该行该列值为project1。
• 循环迭代2：
  $repository = project2
  新增分析数据行Green、green.py、6、4，其httpUrlToRepo列值为project2。

注：repositories是扫描GitLab账户得到的仓库名数组

counter=1

for repository in "${repositories[@]}"; do
    echo "Running scc analysis on ${repofolder}."
    
    echo "counter: ${counter}"

    if [ "${counter}" -eq "1" ]; 
    then
      echo "Creating table and adding data to analysis.db"
      scc -f sql --sql-project ${repofolder} ./${repofolder} | sqlite3 analysis.db
      sqlite3 analysis.db 'ALTER TABLE t ADD httpUrlToRepo TEXT;'
      sqlite3 analysis.db 'UPDATE t SET httpUrlToRepo="$repository" WHERE httpUrlToRepo IS NULL;'
    else
      echo "Inserting data to analysis.db"
      scc -f sql-insert --sql-project ${repofolder} ./${repofolder} | sqlite3 analysis.db
      sqlite3 analysis.db 'UPDATE t SET httpUrlToRepo="$repository" WHERE httpUrlToRepo IS NULL;'
    fi

    rm -r $repofolder

    counter=$((counter+1))
done

注：原代码存在两处冗余：多了一个fi语句、continue语句无意义，建议删除；另外变量repofolder未定义，推测应为$repository

1. 首次循环（counter=1）时，scc创建新表并写入分析数据行；
2. 修改表结构，添加httpUrlToRepo列；
3. 为该列空值的行写入$repository变量内容；
4. 后续循环中，scc新增分析数据行；
5. 为该行的httpUrlToRepo空值写入当前$repository变量内容。

现在SQL语句里用$repository变量时，要么写入的是字符串"$repository"，要么出现语法解析错误，试了多种写法都没解决。

1. 添加新列并插入变量内容的方法是不是最优方案？
2. 如果这个方案可行，怎么正确把Bash变量注入SQL语句？

关于方案是否最优 #

当前方案存在两个明显问题：一是每次插入数据后都要执行UPDATE操作，数据量较大时会额外消耗性能；二是WHERE httpUrlToRepo IS NULL的条件存在风险，如果之前的行因意外导致该列为空，后续循环会误更新这些旧行。

更优的思路是在插入数据时直接带上httpUrlToRepo的值，避免事后更新：

• 首次创建表时，修改scc生成的SQL，在CREATE TABLE语句中加入httpUrlToRepo TEXT列，插入数据时同时写入该列的值；
• 后续插入时，修改sql-insert格式的语句，把httpUrlToRepo的值一并插入。

如果不想修改scc的输出，当前方案也可以用，但建议优化UPDATE的条件，比如结合Project+File的唯一组合来精准更新，避免误操作。

正确注入Bash变量到SQL语句 #

问题核心是你用了单引号包裹SQL语句，Bash不会解析单引号内的变量，导致$repository被当作字符串直接传入SQL。以下是两种可靠的解决方式：

方式1：双引号包裹SQL，转义特殊字符 #

把SQL语句放在双引号中，让Bash解析变量，同时用单引号包裹SQL里的字符串。如果变量包含单引号，需要先转义：

# 处理变量中的单引号（避免SQL语法错误）
escaped_repo=$(echo "$repository" | sed "s/'/''/g")
# 执行UPDATE
sqlite3 analysis.db "UPDATE t SET httpUrlToRepo='$escaped_repo' WHERE httpUrlToRepo IS NULL;"

方式2：SQLite参数绑定（更安全） #

用SQLite的变量绑定功能，自动处理特殊字符，还能避免潜在的SQL注入风险：

sqlite3 -v repo="$repository" analysis.db 'UPDATE t SET httpUrlToRepo = $repo WHERE httpUrlToRepo IS NULL;'

或者用Here Document传递参数：

sqlite3 analysis.db <<EOF
UPDATE t SET httpUrlToRepo = ? WHERE httpUrlToRepo IS NULL;
EOF
<<< "$repository"

内容的提问来源于stack exchange，提问作者vile_goat