关于Bandit检测DROP VIEW格式化SQL告警的技术咨询

Bandit触发这个告警，是因为你用字符串拼接生成SQL语句——这种写法存在SQL注入风险，如果view_name是用户可控的输入，攻击者可以构造恶意值篡改SQL逻辑，比如输入user_view; DROP TABLE users;--，就会额外执行删除表的危险操作。

首先明确：视图名这类数据库对象名无法用参数化查询处理。参数化查询只支持对SQL中的数据值（比如WHERE子句里的条件值）做参数替换，数据库会把参数当作纯数据解析，不会当作SQL语法的一部分。而视图名属于SQL语法的一部分，必须直接写在语句里，所以没法用参数化。

要解决这个问题，正确的做法是先对view_name做严格校验，再拼接SQL：

• 方式一：和预先定义的合法视图名单比对，只允许删除指定的视图

  # 定义允许删除的视图列表
  ALLOWED_VIEWS = {"user_stats", "order_summary"}
  
  if view_name not in ALLOWED_VIEWS:
      raise ValueError(f"不允许删除该视图：{view_name}")
  
  # 校验通过后执行
  conn.execute(f"DROP VIEW {view_name};")
  

• 方式二：用正则校验视图名格式，确保符合数据库的命名规则（比如只能包含字母、数字、下划线，不能有特殊字符）

  import re
  
  # 匹配合法的视图名（字母/下划线开头，后续为字母/数字/下划线）
  if not re.match(r'^[a-zA-Z_][a-zA-Z0-9_]*$', view_name):
      raise ValueError(f"视图名格式非法：{view_name}")
  
  conn.execute(f"DROP VIEW {view_name};")
  

经过严格校验后，既消除了SQL注入风险，也能让Bandit认可这种写法（如果还是触发告警，也可以在代码行上方加# nosec注释让Bandit忽略，但优先推荐校验的方式）。

内容的提问来源于stack exchange，提问作者Lucky Ratnawat