如何修复pandas.read_sql触发Bandit B608 SQL注入告警的问题

B608告警的触发逻辑为：只要通过字符串拼接/插值（包括f-string、str.format()、%格式化）的方式构造SQL语句，Bandit都会判定存在SQL注入风险。你之前尝试的两种修改方案本质还是在Python侧拼接完整SQL字符串，没有做注入防护，因此无法消除告警。

针对不同的插值场景，可使用以下适配pandas的方案修复：

场景1：插值内容为查询值（如WHERE子句的过滤条件） #

直接使用pandas read_sql 内置的params参数做参数化查询即可，参数会由数据库驱动自动做转义处理，完全避免注入风险，也会消除Bandit告警。
示例代码：

import pandas as pd

# 示例：过滤用户ID为123的订单
user_id = 123
df = pd.read_sql(
    sql="SELECT * FROM orders WHERE user_id = %s;",
    params=(user_id,)
)

不同数据库驱动的占位符格式存在差异：

• PostgreSQL、MySQLdb 使用 %s
• SQLite 使用 ?
• 配合SQLAlchemy使用时统一用 :参数名 格式

场景2：插值内容为SQL标识符（如表名、字段名，和你的示例场景一致） #

SQL的参数化查询不支持直接传入表名、字段名这类标识符，普通参数化会自动给值加引号，导致SQL语法错误，可选择以下两种方案处理：

方案A：使用SQLAlchemy做标识符转义（推荐） #

通过SQLAlchemy的quoted_name方法对标识符做合法转义，再配合text构造SQL对象，全程不需要手动拼接字符串，可消除告警：

import pandas as pd
from sqlalchemy import text, quoted_name

table_name = "orders"
# 第二个参数为你使用的数据库方言，可填postgresql、mysql、sqlite等
safe_table_name = quoted_name(table_name, "postgresql")
sql = text("SELECT * FROM :table_name")

df = pd.read_sql(sql=sql, params={"table_name": safe_table_name})

方案B：可控场景加忽略注释 #

如果你的标识符是完全固定的常量，没有任何外部输入（不存在从用户输入、接口参数、外部文件读取表名的逻辑），可以确认不存在注入风险，直接在代码行加Bandit忽略注释即可：

import pandas as pd

table_name = "orders"

df = pd.read_sql(sql=f'''
    SELECT * FROM {table_name};
''') # nosec B608

内容的提问来源于stack exchange，提问作者shikhar mishra