Python用字典动态更新MySQL表的方案能否防范SQL注入？

你的代码完全没有SQL注入风险，理由如下：

• 列名安全校验：你通过get_message_by_uid获取了数据库中已有的条目，并用断言确保update_dict的所有键都是原条目里存在的合法列名。这就把动态列名严格限制在了已知的、合法的数据库列范围内，不可能出现恶意构造的列名。
• 参数化值传递：所有需要插入到SQL里的值（包括update_dict的取值和uid）都通过参数化查询的方式传递给cursor.execute，没有直接拼接到SQL字符串中，彻底避免了值层面的注入风险。

至于Bandit标记为不安全，是因为它的静态检测逻辑比较机械——只看到你用字符串格式化拼接了列名，却识别不了你后续对列名做的合法性校验，所以属于误报。

可选优化方案（消除Bandit误报） #

如果想让Bandit不再报错，同时保留动态更新能力，可以试试这两种方法：

• 预先定义列名白名单：直接在代码里写死允许更新的列，比如ALLOWED_COLUMNS = {"title", "content", "status"}，然后用这个集合来代替message_info_dict.keys()做校验。静态检测工具能直接识别这是安全的列名范围。
• 列名转义：拼接列名时用MySQL的反引号包裹，把'{}=%s'.format(k)改成'{}=%s'.format(k)`，这样即使列名包含特殊字符（虽然你已经做了校验，这种情况不会发生），也能保证SQL语法正确，同时让静态检测工具更放心。

只要你确认update_dict的来源确实是第三方API、而非用户可控的输入，你的现有代码就可以放心使用。

内容的提问来源于stack exchange，提问作者Dominique Paul