Zsh命令行下SQLite用户输入sanitisation与注入防护问题咨询

以下是几种能覆盖绝大多数场景、避免SQL注入和语法错误的可靠解决办法：

1. 封装SQL字符串转义函数 #

写一个通用的Zsh函数来处理SQLite字符串的转义逻辑，严格遵循SQL标准（单引号用两个单引号转义），同时自动为值添加单引号包裹：

sql_escape() {
  # 将输入中的单引号替换为两个单引号，再用单引号包裹
  local escaped="${1//\'/''}"
  echo "'$escaped'"
}

使用示例：

first_value="one o'clock"
second_value="two o'clock"
sqlite3 example.sqlite3 "INSERT INTO example (first, second) VALUES ($(sql_escape "$first_value"), $(sql_escape "$second_value"))"

这个方法能处理所有包含单引号、换行符、制表符的字符串，完全符合SQLite的语法要求，且能有效防止SQL注入。

2. 利用SQLite的CSV导入功能 #

如果需要插入多条数据或处理复杂内容，用CSV导入是更安全的方式——由SQLite自行解析数据，避免手动构造SQL的风险：

first_value="one o'clock, with comma"
second_value="two o'clock\nwith newline"

# 生成符合CSV规范的临时文件：双引号包裹字段，字段内的双引号转义为两个双引号
printf '"%s","%s"\n' "${first_value//\"/""}" "${second_value//\"/""}" > temp_data.csv

# 导入到SQLite表中
sqlite3 example.sqlite3 <<EOF
.mode csv
.import temp_data.csv example
EOF

# 清理临时文件
rm temp_data.csv

该方法适合批量插入场景，且天然处理所有特殊字符的转义。

3. 直接完善的单引号转义（极简版） #

如果不想用函数，直接在SQL语句中使用Zsh的参数替换完成转义，确保覆盖所有单引号场景：

sqlite3 example.sqlite3 "INSERT INTO example (first, second) VALUES('${first_value//'/''}', '${second_value//'/''}')"

注意：这个写法的核心是${var//'/''}——将变量中的所有单引号替换为两个单引号，这完全符合SQLite对字符串的转义规则，只要变量被正确用双引号包裹，就能避免语法错误和注入。

关键注意事项 #

• 永远不要直接将未转义的用户输入拼接到SQL语句中，即使是看似“安全”的内容。
• 测试边界情况：空值、包含多个单引号的字符串、带特殊符号（逗号、换行）的内容，上述方法均能正确处理。

内容的提问来源于stack exchange，提问作者user137369