Python 開發者現在有了一個新工具來防止 SQL 注入攻擊，同時保持程式碼的可讀性。SQL-tString 利用 Python 3.14 即將推出的 t-string 功能，提供了一種更直觀的方式來構建 SQL 查詢，而不犧牲安全性。
SQL 注入攻擊長期以來一直是使用資料庫時的重大安全隱患。傳統方法通常要求開發者在便利性和安全性之間做出選擇，導致引數化查詢語法繁瑣或者存在風險的字串插值。SQL-tString 旨在透過提供一種自然的語法來彌合這一差距，同時確保正確的引數處理。
模板字串改變 SQL 查詢構建方式
SQL-tString 利用 Python 的新 t-string（模板字串）功能，這是在 PEP 750 中為 Python 3.14 引入的。與 f-strings 立即將值插入字串不同，t-strings 在組合之前分別提供對字串模板和插值值的訪問。這種分離對資料庫操作的安全性至關重要。
該庫允許開發者編寫看起來幾乎與 f-string 插值相同的查詢，但沒有安全風險。例如，與容易受攻擊的 fSELECT * FROM table WHERE id={id} 不同，開發者可以編寫 tSELECT * FROM table WHERE id={id}，並讓 SQL-tString 處理適當的引數化。
「我原以為這只是同樣的 'where id = {id}' 插值，但天哪，這些例子真是令人驚訝。我可以想象這種行為需要一些試錯才能弄清楚，但看起來你可以編寫一個 search() 查詢，其中包含完整載入的 SQL 語句，就好像提供了所有方面，但你可以使每個方面都是可選的，這些表示式將從語句中刪除。」
高階查詢組合和重寫
SQL-tString 最強大的功能之一是透過其重寫能力處理動態查詢構建。該庫引入了特殊值，如 Absent、IsNull 和 IsNotNull，可以在執行時轉換查詢。
當引數設定為 Absent 時，SQL-tString 將刪除包含該引數的整個表示式。這對可選的搜尋條件或更新特別有用。例如，如果 WHERE 子句中的引數被標記為 Absent，則整個條件可以自動刪除，無需手動字串操作。
這種方法消除了構建查詢時複雜的條件邏輯的需要。開發者不必使用 if 語句逐段構建 SQL 語句，而是可以預先編寫完整的查詢，並讓 SQL-tString 處理動態部分。結果是更可讀的程式碼，其中最終的 SQL 結構立即顯現。
SQL-tString 的主要特點：
- 透過適當的引數化防止 SQL 注入
- 支援使用特殊值進行動態查詢構建：
Absent：移除包含該引數的表示式IsNull：重寫條件以進行 NULL 檢查IsNotNull：重寫條件以進行 NOT NULL 檢查
- 提供表名和列名的上下文控制
- 支援多種資料庫方言（"qmark" 和 "asyncpg"）
- 相容 Python 3.12+（對於 3.14 之前的版本提供替代語法）
透過上下文控制實現安全
SQL-tString 還提供了一個上下文管理系統，允許開發者定義有效的表名和列名。這增加了一層額外的安全性，防止在敏感位置使用任意識別符號。
使用 sql_context 函式，開發者可以指定在給定範圍內允許使用哪些列名和表名。如果值與這些預定義選項不匹配，庫將引發錯誤，防止透過識別符號操作的潛在注入向量。
跨資料庫方言的相容性
不同的資料庫系統使用不同的引數樣式，這可能會使需要與多個數據庫後端一起工作的程式碼變得複雜。SQL-tString 透過支援各種引數樣式來解決這個問題，包括問號樣式（使用 ? 佔位符）和 asyncpg 方言（使用 $ 佔位符）。
開發者可以配置全域性方言設定以匹配他們的資料庫系統，確保生成的 SQL 與他們特定的資料庫客戶端相容。
向後相容性
雖然 t-strings 是 Python 3.14 的功能，但 SQL-tString 透過替代語法為 Python 3.12 和 3.13 提供了向後相容性。這允許開發者在升級到最新 Python 版本之前就開始使用該庫的安全優勢。
隨著 Python 的不斷發展，SQL-tString 代表了資料庫互動既安全又對開發者友好的一步進展。透過利用語言功能來增強安全性而不犧牲可讀性，它解決了 Web 和資料庫應用程式開發中的常見痛點。
參考：SQL-tString