如何解决SQL语句中注释符（--）引起的注入_剥离输入字符串中的符号
SQL注入中 -- 注释符为什么危险
问题的核心在于，数据库引擎会将 -- 之后的所有内容都视为注释而直接忽略。这就给了攻击者一个绝佳的“手术刀”，可以精准地截断原有的SQL逻辑，从而绕过身份验证或拼接上恶意指令。
举个典型的例子：设想一个登录查询语句是 SELECT * FROM users WHERE name = '用户输入' AND password = '密码'。如果攻击者在用户名处输入 admin' -- ，最终拼接成的SQL就会变成：
SELECT * FROM users WHERE name = 'admin' -- ' AND password = '...'
看到了吗？-- 之后的条件检查被整个注释掉了。数据库只会执行前半部分，查找用户名为“admin”的记录，完全跳过了密码验证。这就是它危险的本质——它破坏了语句的完整性。
剥离 -- 不能只靠简单字符串替换
一个很自然的想法是：既然它危险，那我们在处理用户输入时，直接把所有 -- 删掉不就行了？比如用 str.replace('--', '')。
必须警惕的是，这种做法会带来灾难性的副作用。原因很简单：-- 这个字符组合，在业务数据中完全可能合法存在。
- 一个包含版本号的URL：
https://example.com/api/v1--stable - 一段文本描述：“本次更新为‘--紧急修复--’版本”
- 甚至在SQL字符串字面量内部：
WHERE note = '-- 待办事项'
如果粗暴地全局删除，这些合法的数据就会被破坏，导致业务逻辑出错。真正的难点在于，你必须能区分这个 -- 是出现在SQL的“代码区域”（作为注释符），还是“数据区域”（作为普通字符）。这需要完整的SQL词法解析，绝非简单的字符串处理能胜任。
所以，行业共识是：不要试图通过过滤特定字符来防御SQL注入。这条路不仅复杂，而且极易留下漏洞。正确的防御必须建立在更高的维度上。
参数化查询才是根本解法（以 Python + psycopg2 为例）
那么，什么才是治本之道？答案是：参数化查询（Prepared Statements）。这才是被无数安全实践验证过的“银弹”。
它的原理非常巧妙：将SQL语句的结构（命令、表名、列名、操作符）与数据值（用户输入）彻底分离。在编写SQL时，用占位符（如 %s）代表将要传入的值。执行时，通过数据库驱动接口将用户输入作为“参数”单独传递。
cursor.execute("SELECT * FROM users WHERE name = %s AND status = %s", (user_input, "active"))
请注意，这里的 %s 是驱动约定的占位符，绝不是Python的字符串格式化。驱动会确保 user_input 变量里的内容——无论它包含 --、单引号还是分号——都被原封不动地、且安全地作为纯粹的数据值嵌入到查询中。数据库引擎在解析阶段，根本不会把这些参数值当作SQL代码来解析，注释符自然也就失效了。
- 关键区别：务必使用驱动提供的参数化接口，绝对不要用
.format()、f-string或%格式化来拼接SQL字符串，那等于回到了原点。 - 方言差异：不同数据库的占位符语法略有不同，例如SQLite用
?，PostgreSQL/MySQL用%s，Oracle用:name，但原理完全一致。 - 例外情况：对于表名、列名等无法参数化的SQL结构部分，应使用严格的白名单机制进行校验，而不是尝试过滤符号。
如果真要剥离（仅限调试/审计场景）
话说回来，在某些特殊场景下，比如分析SQL日志、进行安全审计时，我们可能确实需要从一段完整的SQL字符串中移除注释。这时候，手写正则表达式依然是下策。
更可靠的做法是借助成熟的SQL解析库。例如在Python中，可以使用 sqlparse 库，它能理解SQL的语法结构，准确识别出哪些是注释节点：
import sqlparse
parsed = sqlparse.parse("SELECT * FROM t WHERE x = '--abc'; -- real comment")[0]
for token in parsed.flatten():
if token.is_comment and token.ttype == sqlparse.tokens.Comment.Single:
token.value = ''
这种方法比正则准确得多，因为它能区分字符串内的 '--abc' 和真正的注释 -- real comment。但再次强调，这绝不适用于处理即将传入数据库的用户输入。你无法预知一个孤立的输入片段最终会被拼接到SQL语句的哪个位置，依赖解析来防御注入是危险且不可靠的。
最后，一个常见的误解需要澄清：前端Ja vaScript的 escape()、encodeURIComponent()，或者服务器端的HTML编码、URL解码，这些措施完全不能防御SQL注入。它们属于输出编码的范畴，目的是在不同上下文（如HTML、URL）中安全显示数据，与数据库的SQL解析层是两回事。防御SQL注入的最终防线，有且仅有一个：在构造查询的那一刻，使用参数化查询，确保数据与代码分离。这才是关键所在。
