直接拼接LIMIT参数会导致SQL注入，因数据库驱动不支持LIMIT参数化，且用户输入的非法值（如负数、超大数）可绕过限制或触发多语句攻击；必须在应用层严格校验输入为纯数字字符串、转整型并限定合理范围，否则返回400错误。
为什么直接拼接 LIMIT 参数会导致 SQL 注入
LIMIT 子句不支持参数化占位符（如 ? 或 $1）在所有数据库驱动中——尤其当它出现在语句末尾且需动态控制行数时，很多开发者会误用字符串拼接："SELECT * FROM users LIMIT " + limitParam。一旦 limitParam 来自用户输入（如 URL 查询参数 ?limit=10），攻击者传入 ?limit=10; DROP TABLE users-- 就可能触发注入（取决于数据库和驱动是否允许多语句）。更常见的是绕过逻辑限制，比如传 -1 或极大数值导致全表扫描。
关键点在于：LIMIT 的两个参数（偏移量、行数）**必须是整数，且必须是非负、有合理上限的整数**。任何浮点、负数、超长数字、带符号的字符串，都不应被接受。
后端如何安全地强制转为整数并校验
不要依赖 parseInt() 或 int(limitParam) 这类“尽力而为”的转换——它们会静默截断或容忍空格、前导加号、科学计数法等。必须显式校验原始字符串格式，再转为严格整型。
推荐做法：
- 先检查输入是否为纯数字字符串：正则
^[0-9]+$（不允许负号、小数点、空格） - 再转为整数，用语言原生强转函数（如 Python 的
int()、Go 的strconv.Atoi()、Node.js 的Number()配合isFinite()） - 立即检查是否溢出或超出业务允许范围（例如
limit不应超过 1000） - 若任一检查失败，返回 400 错误，**不 fallback 到默认值**（避免掩盖问题）
示例（Python Flask）：
limit_str = request.args.get("limit", "")
if not re.match(r"^[0-9]+$", limit_str):
abort(400, "limit must be a positive integer string")
try:
limit = int(limit_str)
if limit < 1 or limit > 1000:
abort(400, "limit must be between 1 and 1000")
except ValueError:
abort(400, "limit is not a valid integer")
# ✅ 此时 limit 可安全用于 "LIMIT %s" % limit 或参数化查询中的整数位置占位符为什么不能只靠数据库层的参数化来防护
多数数据库驱动（如 PostgreSQL 的 psycopg2、MySQL 的 mysql2）不支持将 LIMIT 或 OFFSET 的值作为绑定参数传入。例如以下写法会报错：
cursor.execute("SELECT * FROM users LIMIT %s", [user_input]) # ❌ psycopg2 报错：syntax error at or near "$1"这是因为 SQL 解析器在预编译阶段就需要确定 LIMIT 值，它不属于“数据上下文”，而是“语法结构”。所以即使你用了参数化查询，仍需在应用层完成干净的整型提取与校验——这不是可选优化，是必要防线。
OFFSET 和 LIMIT 要一起处理吗
是的。如果接口同时支持分页（offset + limit），offset 同样必须走相同校验流程：纯数字字符串 → 强转整数 → 非负 → 有上限（注意：大 offset 本身有性能问题，但那是另一回事）。别以为 limit 安全了就忽略 offset——两者都是注入入口。
特别注意：offset 允许为 0，但不允许负数；limit 通常也不应为 0（除非业务明确需要空结果集），建议下限设为 1。
最易被忽略的点：校验必须发生在**任何数据库交互之前**，且必须拒绝非法输入，而不是悄悄修正。比如把 "10abc" 截成 10，或把 "-5" 当成 0，都会留下绕过空间。
