如何在PostgreSQL中安全使用带参数的EXPLAIN命令以避免SQL注入？

PostgreSQL的EXPLAIN（包括带ANALYZE的情况）确实不支持直接使用$n这类参数占位符，因为参数绑定机制无法作用于EXPLAIN语句本身。要安全运行带任意参数的EXPLAIN命令，推荐以下方案：

方案一：使用PREPARE + EXPLAIN EXECUTE组合 #

这是最安全的方式，完全利用PostgreSQL的参数绑定机制，避免SQL注入：

1. 先通过PREPARE创建带参数的预编译语句
2. 对预编译语句的执行计划做EXPLAIN（可加ANALYZE）
3. 最后释放预编译语句

示例SQL：

PREPARE query_stmt AS SELECT * FROM mytable WHERE name = $1;
EXPLAIN (ANALYZE) EXECUTE query_stmt('用户输入的参数');
DEALLOCATE query_stmt;

在Go代码中的实现示例：

// 准备预编译语句
_, err := db.Exec("PREPARE query_stmt AS SELECT * FROM mytable WHERE name = $1;")
if err != nil {
    // 错误处理
}
defer db.Exec("DEALLOCATE query_stmt;")

// 执行EXPLAIN并传入参数
rows, err := db.Query("EXPLAIN (ANALYZE) EXECUTE query_stmt($1);", userInput)
if err != nil {
    // 错误处理
}
// 处理结果

方案二：绝对避免直接拼接用户输入到SQL字符串 #

不要尝试用字符串拼接的方式把用户参数插入EXPLAIN语句，哪怕用所谓的"SQL清理包"也不行——这类工具无法完全规避所有SQL注入风险，参数绑定才是最可靠的安全手段。

额外注意事项 #

• 如果使用EXPLAIN ANALYZE，会实际执行查询，要警惕不可信用户提交的查询带来的性能损耗（比如大表全表扫描），必要时只允许不带ANALYZE的EXPLAIN。
• 给执行EXPLAIN的数据库用户配置最小权限，仅允许执行必要的查询和EXPLAIN操作，降低风险。

内容的提问来源于stack exchange，提问作者Matteo