为什么SQL预编译无法防护order by位置的注入？

## 作用 SQL 预编译主要用于把 SQL 结构和参数值分离，防止用户输入被当作 SQL 代码执行，通常适用于 `WHERE` 条件中的值，例如： ```sql SELECT * FROM users WHERE username = ? ``` 但它不能处理所有 SQL 位置。`ORDER BY` 后面通常是列名或排序方向，属于 SQL 语法结构的一部分，而不是普通的数据值。 ## 原理 - 数据库不支持把排序字段作为普通占位符参数，例如 `ORDER BY ?` 在 MySQL、PostgreSQL 等数据库中不能实现参数化排序字段。 - 预编译占位符只能绑定“值”，不能替换标识符，例如列名、表名、`GROUP BY` 字段等。 - 因此，如果代码直接拼接： ```sql "ORDER BY " + user_input ``` 用户输入就会进入 SQL 语法结构，可能篡改排序逻辑甚至形成注入。 - 正确做法是使用白名单校验，只允许指定的列名和排序方向： ```java List<String> allowed = List.of("id", "name", "created_at"); if (!allowed.contains(sortField)) { sortField = "id"; } if (!"ASC".equalsIgnoreCase(sortOrder) && !"DESC".equalsIgnoreCase(sortOrder)) { sortOrder = "ASC"; } String sql = "SELECT * FROM users ORDER BY " + sortField + " " + sortOrder; ``` - 类似不能直接参数化的位置还包括表名、列名、数据库名以及 `GROUP BY` 字段；这些位置都应通过白名单或严格映射处理，而不能依赖预编译。