使用sys.argv的Python脚本pd.read_sql与pyodbc.connect Checkmarx漏洞求助

问题背景 #

我运行一个需要接收用户输入参数的Python脚本，可通过parse_args或sys.argv实现参数接收。但在使用pyodbc包构建MSSQL连接字符串时，若采用sys.argv会被Checkmarx检测出pd.read_sql和pyodbc.connect存在漏洞。我无法弃用sys.argv，已尝试对sys.argv（含所有输入参数）进行正则校验，不匹配则终止脚本，尤其针对传入数据库连接的tab参数做了正则处理，但漏洞仍未消除。

脚本调用示例：

python hello_world.py --env Test --path /Users/abc/scripts --ing search --tab test_tab

可行解决方案 #

1. 用argparse规范解析sys.argv参数 #

虽然不能弃用sys.argv，但可先将sys.argv传入argparse做标准化解析，再使用解析后的变量而非直接读取原始sys.argv值。Checkmarx对规范的参数解析逻辑识别度更高，能降低误报概率。

示例代码：

import sys
import argparse
import pyodbc
import pandas as pd
import re

# 用argparse解析sys.argv参数
parser = argparse.ArgumentParser()
parser.add_argument('--env', required=True)
parser.add_argument('--path', required=True)
parser.add_argument('--ing', required=True)
parser.add_argument('--tab', required=True)
args = parser.parse_args(sys.argv[1:])

# 对tab参数做严格正则校验（仅允许字母、数字、下划线）
if not re.match(r'^[a-zA-Z0-9_]+$', args.tab):
    print("非法表名格式")
    sys.exit(1)

# 构建连接字符串与查询语句
conn_str = "DRIVER={SQL Server};SERVER=your_server;DATABASE=your_db;UID=user;PWD=pwd"
conn = pyodbc.connect(conn_str)
# 用方括号包裹表名避免注入风险，结合前置校验
query = f"SELECT * FROM [{args.tab}]"
df = pd.read_sql(query, conn)

2. 给表名做数据库层面的合法性校验 #

由于表名无法直接用占位符参数化，可通过查询系统表确认表名合法性，彻底阻断注入可能：

# 先校验表名是否存在于数据库中
check_cursor = conn.cursor()
check_cursor.execute("SELECT 1 FROM sys.tables WHERE name = ?", (args.tab,))
if not check_cursor.fetchone():
    print("表名不存在")
    sys.exit(1)

# 使用SQL Server内置的QUOTENAME函数转义表名
query = f"SELECT * FROM {pyodbc.QUOTENAME(args.tab)}"
df = pd.read_sql(query, conn)

3. 用配置映射替代直接拼接连接参数 #

如果连接字符串依赖sys.argv传入的环境参数（如--env），不要直接拼接字符串，改用预定义的配置映射：

# 预定义环境与数据库参数的映射关系
env_config_map = {
    "Test": {"server": "test_server", "db": "test_db"},
    "Prod": {"server": "prod_server", "db": "prod_db"}
}

if args.env not in env_config_map:
    print("非法环境参数")
    sys.exit(1)

current_config = env_config_map[args.env]
conn_str = f"DRIVER={{SQL Server}};SERVER={current_config['server']};DATABASE={current_config['db']};UID=user;PWD=pwd"

4. 提交Checkmarx误报申请 #

若上述安全措施已全部实施仍被告警，可向Checkmarx提交误报申请：

• 提供参数校验、表名合法性验证的完整代码片段。
• 说明脚本不存在SQL注入风险的逻辑依据，比如白名单校验、数据库层面验证等。

内容的提问来源于stack exchange，提问作者SRIRAM RAMACHANDRAN