Django extra的where子句如何转义动态标识符避免SQL注入

最优无入侵实现（无需手动处理表名） #

如果查询字段属于当前QuerySet对应模型或关联模型，完全不需要手动拼接表名，用ORM原生表达式即可实现，零注入风险，同时保留元组对比的索引命中特性：

• 首先定义通用元组构造表达式：

from django.db.models import F, Func, Value

class Tuple(Func):
    function = ""
    template = "(%(expressions)s)"

• 直接用ORM过滤，自动生成符合要求的SQL：

filtered_queryset = queryset.filter(
    Tuple(F("modified_on"), F("id")) > Tuple(Value(after_ts), Value(after_id))
)

该写法最终生成的SQL和你原写法完全一致，原生保留(表名.modified_on, 表名.id) > (?, ?)的结构，不会影响多列索引命中；关联表字段直接用F("关联字段名__目标字段名")即可，ORM会自动处理表别名。

动态外部表名场景处理方案 #

如果确实需要传入外部动态表名（比如通用分页组件场景），需要注意：表名、列名这类SQL标识符无法通过参数化查询传递，这是SQL本身的特性限制，必须通过两层校验彻底避免注入：

1. 严格白名单校验：提前收集系统允许查询的所有合法表名，传入的table_name不在白名单内直接拒绝执行
2. 标识符转义：用Django内置的数据库操作类转义表名，处理特殊字符：

from django.db import connections

# 按需指定使用的数据库别名
db_ops = connections["default"].ops
quoted_table_name = db_ops.quote_name(table_name)

# 转义后再拼接进SQL，值参数仍然走参数化传递
filtered_queryset = queryset.extra(
    where=[
        f"({quoted_table_name}.modified_on, {quoted_table_name}.id) > (%s, %s)",
    ],
    params=(after_ts, after_id),
)

注意：extra方法已被Django官方标记为废弃，长期维护的项目推荐用RawSQL配合QuerySet的filter方法替代，写法更规范。

内容的提问来源于stack exchange，提问作者Michal Charemza