使用self.kwargs.get()时清理数据是否重要？附SQL查询场景示例

如果你的pk要直接用于手写SQL查询，那数据清理和验证可以说是必不可少的——忽略这一步的话，分分钟会遭遇SQL注入攻击，这是Web应用里最常见也最危险的安全漏洞之一。而且除了安全问题，未经处理的参数还可能导致类型错误、无效查询，甚至破坏数据完整性。

具体该怎么清理和验证呢？这里有几个实用的方法： #

• 强制类型转换并处理异常
  URL参数默认都是字符串类型，而pk通常应该是整数。直接用字符串拼接SQL的话，恶意字符串会直接被执行。所以第一步要把参数转成预期的类型，同时处理转换失败的情况：

  pk = self.kwargs.get('pk')
  try:
      valid_pk = int(pk)
  except (ValueError, TypeError):
      # 这里可以返回404或者错误提示
      raise Http404("Invalid resource ID")
  

  这样能过滤掉非整数的恶意输入，也能避免类型不匹配导致的查询错误。

• 永远使用参数化查询
  这是防止SQL注入的核心手段，不管你有没有做类型转换，都应该用参数化查询代替字符串拼接。比如在Python中：

  # 错误写法（绝对要避免！）
  # sql = f"SELECT * FROM articles WHERE id = {valid_pk}"
  # cursor.execute(sql)
  
  # 正确写法
  cursor.execute("SELECT * FROM articles WHERE id = %s", (valid_pk,))
  

  参数化查询会自动把参数转成安全的格式，数据库会把SQL逻辑和参数分开处理，从根源上杜绝注入风险。

• 验证参数的业务合法性
  除了类型和格式，还要检查参数是否符合业务规则。比如，如果这个pk对应的是当前用户的私有资源，那你得验证这个资源确实属于该用户：

  article = Article.objects.filter(id=valid_pk, author=self.request.user).first()
  if not article:
      raise PermissionDenied("You don't have access to this resource")
  

  这一步不仅是清理，也是权限控制，能防止用户访问不属于自己的数据。

• 利用框架内置工具简化操作
  如果你用的是Django这类Web框架，尽量用框架提供的安全工具，比如get_object_or_404：

  article = get_object_or_404(Article, id=self.kwargs.get('pk'), author=self.request.user)
  

  它会自动处理类型转换、资源不存在的情况，而且Django ORM本身就用参数化查询，完全不用担心注入问题。

总结一下 #

清理self.kwargs里的参数，既是为了防止致命的安全漏洞，也是为了保证应用的稳定性和数据正确性。千万不要因为参数来自URL就放松警惕——恶意用户总能想出各种办法构造危险输入，做好防护才是稳妥的做法。

内容的提问来源于stack exchange，提问作者Ali Soltani