Python3+sqlite3 防注入IN子查询：处理HTML表单的逗号分隔输入

核心实现逻辑 #

完全遵循DB-API 2.0的参数绑定规范，靠动态生成与输入列表长度匹配的占位符完成查询，全程不把用户输入的实际内容拼入SQL字符串，从机制上杜绝SQL注入风险，根本不需要手动对用户输入做消毒转义。

具体实现步骤 #

• 第一步：清洗拆分用户输入
  把用户提交的逗号分隔字符串拆成纯值列表，同时过滤掉前后空白、空值项，避免用户输入格式问题导致匹配错误或者生成非法SQL。
  示例：用户输入"Alice, Bob ,Carrol"，拆分清洗后得到['Alice', 'Bob', 'Carrol']，自动过滤掉无意义的空项。
• 第二步：动态生成等长占位符
  根据清洗后的列表长度，生成对应数量的?占位符，用逗号拼接成可直接嵌入IN子句的格式。整个过程只生成固定的SQL语法字符，不涉及任何用户输入的实际内容。比如长度为3的列表，生成的占位符串就是?,?,?。
• 第三步：拼接固定结构的查询语句
  除了把动态生成的占位符串嵌入IN子句的括号位置，其余SQL语句全部为硬编码的固定结构，不包含任何用户输入的内容。
• 第四步：按位置传参执行查询
  把清洗好的用户值列表作为参数传给执行方法，由数据库驱动自动完成每个值的转义与绑定，完全避免手动处理转义的疏漏。

可直接复用的代码示例 #

import sqlite3

# 连接数据库
conn = sqlite3.connect("your_db.db")
cursor = conn.cursor()

# 1. 接收并清洗用户输入
raw_input = "Alice,Bob,Carrol"
# 拆分、去前后空白、过滤空值
input_values = [item.strip() for item in raw_input.split(",") if item.strip()]

# 处理空输入的边界情况，避免生成非法SQL
if not input_values:
    print("查询值为空，返回空结果")
    result = []
else:
    # 2. 动态生成对应长度的占位符
    placeholders = ",".join(["?"] * len(input_values))
    # 3. 拼接固定结构的查询语句
    query = f"SELECT * FROM your_table WHERE name IN ({placeholders})"
    # 4. 传参执行，驱动自动处理转义
    cursor.execute(query, input_values)
    result = cursor.fetchall()

conn.close()

常见误区说明 #

• 不要尝试把整个值列表作为单个参数绑定给一个占位符
  DB-API 2.0规范中，单个占位符对应一个独立的绑定值，传入列表时驱动会将列表整体转为单个字符串值，根本无法实现IN子句的多值匹配，这也是之前尝试类似IN ?传整个列表写法无法生效的核心原因。
• 不推荐手动对用户输入做消毒转义后拼入SQL
  手动转义需要适配不同数据库的特殊字符规则，很容易因为疏漏出现注入漏洞，而通过驱动原生的参数绑定机制传值，是经过长期验证的最安全实现。
• 动态生成占位符的过程不存在注入风险
  该环节仅生成固定的?和逗号分隔符，全程不拼接用户输入的实际内容，安全等级和固定数量占位符的写法完全一致。

内容的提问来源于stack exchange，提问作者amstramgram