PostgreSQL参数化字段名防SQL注入时的引号问题求助

核心问题 #

参数化查询的设计目标是处理值类型参数（比如WHERE子句里的条件值），无法直接将数据库标识符（列名、表名等）作为参数传入并让数据库自动识别为标识符——所有传入的参数都会被当作字符串字面量，因此会被单引号包裹，导致AVG('television')这种错误语法。

安全解决方案 #

1. 白名单校验+动态拼接（通用方法） #

先定义允许使用的列名白名单，只允许白名单内的列名参与SQL拼接，彻底避免注入风险，同时手动给列名添加双引号：

# 示例：Python环境下的实现
allowed_columns = {"television", "radio", "newspaper"}
target_column = "television"

# 先校验列名合法性
if target_column not in allowed_columns:
    raise ValueError("非法的列名")

# 拼接SQL时给列名加上双引号
sql_query = f"SELECT AVG(\"{target_column}\") FROM your_table;"
# 执行查询（此处省略数据库连接执行代码）

2. 使用驱动提供的标识符处理工具（推荐） #

多数PostgreSQL驱动都提供了专门处理标识符的工具，能自动正确添加双引号，同时避免注入：
以Python的psycopg2为例：

from psycopg2 import sql

target_column = "television"
# 使用sql.Identifier处理列名
sql_query = sql.SQL("SELECT AVG({col}) FROM your_table;").format(
    col=sql.Identifier(target_column)
)
# 执行查询时直接传入该sql对象即可，驱动会自动生成正确的SQL语法

为什么之前的尝试无效 #

不管你提前给列名加不加双引号，参数化查询都会将传入的内容视为字符串值，最终用单引号包裹，导致生成AVG('"television"')这种错误语法——这是参数化查询的固有逻辑，无法通过修改参数内容改变。

内容的提问来源于stack exchange，提问作者Valentin Garreau