能否创建仅接收编译时常量字符串字面量的SQL执行API？

• 核心逻辑成立
  你的思路本质是把SQL语句的所有结构片段都限定为开发者预定义的编译期字符串字面量，用户输入完全无法介入SQL语法的构建——所有不可信输入只能作为SQL的字符串字面量参数（通过预编译机制传入），这直接切断了攻击者通过构造输入篡改SQL逻辑的路径，从根源上消除了注入风险。

• 实现依赖语言特性或工程约束
  要实现“仅接受编译期字符串字面量”的限制，需要结合语言特性或工程规范：

  • 强类型语言（如Rust、TypeScript）可以利用**字面量类型**或编译宏，直接在类型层面限制输入只能是硬编码的字符串；
  • Java、C#这类语言可以通过自定义注解配合编译期检查插件，拒绝运行时生成的动态字符串传入API；
  • 退一步也可以通过代码规范+静态检查工具（如SonarQube、ESLint自定义规则）强制执行，禁止任何动态拼接的字符串进入SQL生成函数。

• 落地时需注意边界

  • 必须严格管控所有SQL执行入口，确保唯一合法路径就是这个API，不能存在允许直接执行自定义字符串的后门；
  • 用户输入映射为SQL字面量时，一定要用数据库的**预编译参数绑定**，绝对不能手动做字符串转义——手动转义极易出现疏漏，预编译是更可靠的安全方式；
  • 如果业务需要动态生成SQL结构（比如根据用户选择动态增减查询条件），这个方案就不适用了，此时建议使用ORM框架的动态查询构造器（同样要确保参数绑定的安全性）。

内容的提问来源于stack exchange，提问作者Max888