SELECT查询中是否需要使用Prepared Statement？

你的想法不完全正确，是否要用Prepared Statement得看具体场景：

• 纯静态查询，无外部输入：如果你的SELECT语句是完全固定的（比如SELECT * FROM users WHERE status = 'active'），没有任何来自用户输入、变量拼接的内容，那确实没必要用Prepared Statement，直接执行普通查询完全没问题。

• 包含外部输入的查询：只要查询里有任何外部传入的参数（比如用户输入的ID、搜索关键词），哪怕只是用来查看数据，也必须用Prepared Statement。原因如下：

  • 防止SQL注入：普通字符串拼接很容易被攻击者利用，比如用户输入1' OR '1'='1，直接拼接会变成SELECT * FROM users WHERE id = 1' OR '1'='1，导致整个表的数据被泄露。
  • 提升复用性：如果多次执行结构相同、参数不同的查询，Prepared Statement可以让数据库预编译查询计划，重复执行时性能更好。

举个反例，不用Prepared Statement的危险写法：

# 不安全：直接拼接用户输入
user_id = input("输入用户ID：")
query = f"SELECT * FROM users WHERE id = {user_id}"

安全的写法（用Prepared Statement）：

# 安全：使用参数占位符
user_id = input("输入用户ID：")
query = "SELECT * FROM users WHERE id = ?"
cursor.execute(query, (user_id,))

总结：纯静态的查看数据查询可以不用，但只要涉及外部输入，不管是不是只用来查看，都必须用Prepared Statement来避免安全风险。

内容的提问来源于stack exchange，提问作者Toxic Tricks