使用F-strings执行SQL是否会引发注入？如何安全更新及检测损坏？

1. 仅数据查询时用f-strings拼接SQL会有注入风险吗？ #

有，而且风险完全不可忽视。不管是查询、更新还是插入操作，只要用f-strings（或其他字符串拼接方式）把用户可控的输入直接拼进SQL语句，就可能触发SQL注入。比如恶意用户输入' OR 1=1 --作为查询参数，原本的SELECT * FROM users WHERE id={user_input}会被篡改为SELECT * FROM users WHERE id='' OR 1=1 --，这会直接返回所有用户数据，造成敏感信息泄露。哪怕是只读查询，注入也可能破坏查询逻辑、泄露数据，甚至部分数据库支持在查询中执行其他危险操作，绝对不能掉以轻心。

2. 数据更新时不用f-strings传变量的最佳方式 #

用参数化查询，这是业界公认的避免SQL注入的标准方案。核心逻辑是：把变量作为独立参数传给execute()，而非直接拼进SQL字符串，数据库驱动会自动处理变量的转义，确保变量被当作纯数据而非SQL指令执行。针对你的示例，改写方式如下：

示例代码（适配Python常见数据库驱动） #

new_date = '30/10/2022'
target_name = 'Odin'

# SQLite 使用 ? 作为占位符
my_database.execute('UPDATE people SET birthday=? WHERE name=?', (new_date, target_name))

# MySQL 使用 %s 作为占位符
my_database.execute('UPDATE people SET birthday=%s WHERE name=%s', (new_date, target_name))

# PostgreSQL 支持 %s 或命名占位符（可读性更强）
my_database.execute(
    'UPDATE people SET birthday=%(birthday)s WHERE name=%(name)s',
    {'birthday': new_date, 'name': target_name}
)

3. 如何判断数据库是否损坏？ #

可以从以下几个维度排查：

• 操作报错：执行查询、更新或连接数据库时，抛出明确的损坏相关错误（比如“数据库文件损坏”“页校验失败”“无法读取表数据”等）
• 日志排查：查看数据库的错误日志（比如MySQL的error.log、PostgreSQL的postgresql.log），里面会记录损坏、异常读写等关键信息
• 内置检查工具：
  • SQLite：执行PRAGMA integrity_check;查询，返回ok表示正常，否则会列出损坏的具体问题
  • MySQL：使用CHECK TABLE 表名;命令检查单表，或mysqlcheck工具批量检查全库
  • PostgreSQL：用pg_checksums校验数据块完整性，或尝试pg_dump导出数据库，若导出失败大概率存在损坏
• 数据异常：查询返回的数据乱码、缺失、逻辑不符（比如本该存在的记录消失，或字段值明显异常）

内容的提问来源于stack exchange，提问作者Titan31 Hunter29