如何安全清理SAS存储过程参数中的用户输入？

嘿，这个问题我之前在处理用户输入驱动的SAS程序时踩过不少坑！用户输入里的特殊字符（比如引号、分号、注释符）很容易破坏你的SQL语句结构，甚至引发恶意代码注入，必须重视。

先说说为什么你的示例会出问题 #

当用户输入Bad"Text作为lastName时，宏替换后SQL变成：

Select * From Foo Where Bar = "Bad"Text";

这里的双引号提前闭合，剩下的Text"直接变成语法错误。要是用户输入更恶意的内容，比如"; Drop Table Foo; --，替换后会直接执行删除表的操作，后果不堪设想。

靠谱的解决方案，按优先级排序 #

• 首选：使用SAS参数化查询（绑定变量）
  这是最安全的方式，完全绕开宏替换的风险。SAS SQL支持用:变量名的形式直接绑定输入值，底层会自动处理所有转义逻辑，根本不给注入留机会：

  Proc SQL;
    Select * From Foo Where Bar = :lastName;
  Quit;
  

  这里的:lastName会直接读取用户传入的参数值，不需要宏展开，不管输入什么特殊字符都不会破坏SQL结构。

• 退而求其次：用宏函数转义特殊字符
  如果必须用宏变量，一定要用%SYSFUNC(QUOTE())来处理用户输入，它会自动把输入里的双引号转义成SAS SQL认可的双引号（两个连续双引号）：

  Proc SQL;
    Select * From Foo Where Bar = %SYSFUNC(QUOTE(&LastName., %STR(%")));
  Quit;
  

  比如输入Bad"Text会被转义成"Bad""Text"，SQL能正确识别这是一个完整的字符串值，不会报错。

• 额外防护：输入格式验证
  在接收用户输入后，先做合法性校验，过滤掉不符合预期的字符。比如用正则表达式限制姓氏只能包含字母、空格和连字符：

  If not PRXVALIDATE(PRXPARSE('/^[A-Za-z\s-]+$/'), &LastName.) then do;
    Put "Error: 姓氏只能包含字母、空格和连字符！";
    Stop;
  End;
  

  从源头减少恶意输入的可能性。

最后提醒 #

永远不要直接把未处理的用户输入拼接到宏变量里执行SQL，参数化查询是最省心的安全方案，能避免绝大多数注入风险。

内容的提问来源于stack exchange，提问作者lfrandom