使用Ballerina参数化SQL查询时，是否仍需额外做输入清理？

我目前正在使用Ballerina编写参数化查询：

int id = 10;
int age = 12;
sql:ParameterizedQuery query = `SELECT * FROM students WHERE id < ${id} AND age > ${age}`;

我希望保障应用的安全性，现咨询：在使用参数化查询时，是否仍需对所有输入执行清理操作，以作为额外的安全防护层？

回答 #

参数化查询（比如Ballerina的sql:ParameterizedQuery）本身就是防止SQL注入的核心安全机制，它会把SQL语句结构和参数值完全分离：数据库先解析固定的SQL结构，再安全代入参数值，自动处理参数的转义与隔离，从根源上避免了SQL注入风险。所以针对SQL注入防护来说，不需要再对参数做额外的清理操作。

不过有几个特殊情况需要注意：

• 如果参数还要用于其他安全敏感场景（比如前端页面展示、文件名称生成、非SQL的命令执行等），那需要针对对应场景做专门处理。比如用户输入的值要显示在网页上时，需要做HTML转义防止XSS，但这和SQL注入防护无关。
• 永远不要用参数化查询处理SQL的结构部分（比如动态表名、列名、排序字段）——参数化查询只支持参数值的替换。如果必须动态使用这些结构内容，必须通过严格的白名单校验限制允许的取值，而非简单的输入清理。

内容的提问来源于stack exchange，提问作者Mindula