格式化字符串后传入pandas.eval/DataFrame.query存在哪些风险？

你常用pandas的DataFrame.query做数据查询，通过字符串格式化拼接查询语句来规避flake8报错，但有人提醒这种方式是“极其危险的滑坡”，核心风险主要有以下几点：

1. 注入攻击风险 #

虽然你加了a in df.columns的检查，但如果参数a是用户可控的输入，攻击者可以构造恶意列名（比如'b) or True #'），拼接后查询语句会变成'b) or True # == @q'。此时注释符#会忽略后续条件，最终查询会返回所有行，直接破坏查询逻辑，甚至泄露敏感数据。哪怕列名是内部生成的，也可能因为包含特殊字符（比如空格、括号）导致查询语法错误。

2. 可读性与维护性差 #

用字符串拼接构建查询语句，一旦逻辑复杂（比如多条件组合），字符串会变得臃肿混乱，IDE无法对动态生成的字符串做语法校验，出错后很难定位问题。比如漏写括号、引号，调试时要逐字符检查拼接后的字符串，效率极低。

3. 语法兼容性隐患 #

pandas的query语法和原生Python存在细微差异，比如列名含特殊字符时需要用反引号包裹。直接格式化拼接的话，很容易遗漏这种处理，导致查询报错。比如列名是'user name'，直接拼接会变成'user name == @q'，query会把它当成两个标识符，触发语法错误。

更安全的替代方案 #

没必要执着于query，用pandas原生的布尔索引更直接安全：

import pandas as pd

def query_column_equality(df, a, b):
    if a not in df.columns:
        raise KeyError(a)
    return df[df[a] == b]

def query_column_isin(df, a, b):
    if a not in df.columns:
        raise KeyError(a)
    return df[df[a].isin(b)]

df = pd.DataFrame({'a': [1, 2], 'b': [10, 20]})

query_value = 20
print(query_column_equality(df, 'b', query_value))

query_iterable = [20]
print(query_column_isin(df, 'b', query_iterable))

如果一定要用query，可以把列名用反引号包裹，降低语法错误风险：

def query_column_equality(df, a, b):
    if a not in df.columns:
        raise KeyError(a)
    return df.query(f"`{a}` == @q", local_dict={'q': b})

内容的提问来源于stack exchange，提问作者shortorian