如何通过SQLAlchemy的engine.execute API实现SQL注入防护？

SQLAlchemy的engine.execute API完全支持SQL注入防护，核心思路和ORM一致：永远不要直接拼接用户可控的输入到SQL语句中，改用参数化查询。以下是具体实现方法：

1. 基础参数化查询（核心手段） #

无论你用位置占位符还是命名占位符，engine.execute都会自动处理参数的转义和绑定，彻底避免注入风险。

错误示例（绝对禁止） #

直接拼接用户输入会导致严重的SQL注入：

user_input = "1'; DROP TABLE users; --"
# 危险：注入语句会被直接执行
result = engine.execute(f"SELECT * FROM users WHERE id = {user_input}")

安全示例：位置占位符 #

根据数据库方言选择对应的占位符（MySQL/PostgreSQL常用%s，SQLite常用?），参数以元组或列表传递：

user_input = "1'; DROP TABLE users; --"
# MySQL/PostgreSQL 风格
result = engine.execute("SELECT * FROM users WHERE id = %s", (user_input,))
# SQLite 风格
result = engine.execute("SELECT * FROM users WHERE id = ?", [user_input])

安全示例：命名占位符 #

更易读的方式，参数以字典传递，支持所有数据库方言：

user_input = "1'; DROP TABLE users; --"
result = engine.execute(
    "SELECT * FROM users WHERE id = :user_id",
    {"user_id": user_input}
)
# 也支持关键字参数传递
result = engine.execute(
    "SELECT * FROM users WHERE id = :user_id",
    user_id=user_input
)

2. 动态SQL片段的安全处理 #

如果需要动态生成表名、列名这类SQL标识符（无法用参数化查询处理），必须用SQLAlchemy提供的工具进行转义：

转义动态标识符 #

使用quoted_name自动生成带引号的安全标识符，防止注入：

from sqlalchemy import quoted_name, text

# 用户可控的动态表名（比如从请求参数获取）
dynamic_table = "users; DROP TABLE orders; --"
# 转义表名，自动添加数据库对应的引号（比如MySQL用`，PostgreSQL用""）
safe_table = quoted_name(dynamic_table, quote=True)
# 拼接转义后的标识符，再配合参数化查询
query = text(f"SELECT * FROM {safe_table} WHERE id = :user_id")
result = engine.execute(query, user_id=123)

3. 配合text()构造器增强安全性 #

使用SQLAlchemy的text()构造器封装SQL语句，不仅能更清晰地管理参数，还能自动适配不同数据库的参数格式：

from sqlalchemy import text

# 定义带命名参数的SQL模板
query = text("SELECT name, email FROM users WHERE id = :user_id AND status = :status")
# 传递参数执行
result = engine.execute(query, user_id=123, status="active")

内容的提问来源于stack exchange，提问作者JavaSa