如何安全地为SQLite日期筛选查询传递参数

你遇到的问题是因为SQLite的DATE()函数对偏移参数的解析逻辑导致的——直接将数字和周期拆分为两个参数传递时，SQLite会把它们当成独立的字符串字面量，而不是DATE()能识别的偏移语法（比如'-2 days'），所以筛选条件不生效。

要解决这个问题，同时避免SQL注入风险，正确的做法是仅对数值部分进行参数化，同时严格验证周期参数的合法性，具体实现如下：

步骤1：验证周期参数的合法性 #

先限制周期只能是SQLite支持的合法值（比如days、months、years），避免用户传入恶意字符串，这一步是防止注入的关键。

步骤2：参数化数值部分，安全拼接周期部分 #

因为周期已经验证为合法的固定值，直接拼接不会有注入风险，而数值部分用参数化传递，确保安全。

完整代码示例：

private DataTable GetOldData(int valueInNumber, string valueInPeriod)
{
    // 定义SQLite支持的合法周期类型，避免非法输入
    var validPeriods = new HashSet<string> { "days", "months", "years" };
    string normalizedPeriod = valueInPeriod.ToLower();
    
    if (!validPeriods.Contains(normalizedPeriod))
    {
        throw new ArgumentException("不支持的周期类型，请传入days/months/years", nameof(valueInPeriod));
    }

    // 数值部分用参数化，周期用验证后的合法字符串拼接
    sqliteCommand.CommandText = @"SELECT * FROM tblInfo 
                                  WHERE SavedDate < DATE('Now', 'LocalTime', '-@offsetValue " + normalizedPeriod + "')";
    
    // 清空旧参数，添加新的数值参数
    sqliteCommand.Parameters.Clear();
    sqliteCommand.Parameters.AddWithValue("@offsetValue", valueInNumber);

    // 执行查询并返回结果
    using (var dataReader = sqliteCommand.ExecuteReader())
    {
        DataTable resultTable = new DataTable();
        resultTable.Load(dataReader);
        return resultTable;
    }
}

为什么这个方案安全？ #

• 周期参数被限制在固定的合法值范围内，不是用户可控的任意字符串，彻底避免了通过周期参数注入恶意SQL的可能。
• 数值部分使用参数化传递，防止了数值型SQL注入攻击。

而你之前尝试的参数化方式失效的原因是：SQLite会将"-@period @term"作为完整的字符串传递给DATE()函数，它无法解析其中的参数占位符，自然无法生成正确的日期偏移，导致筛选条件不生效。

内容的提问来源于stack exchange，提问作者Sara