ETL中防SQL注入核心是用户输入必须走参数化查询；NiFi需启用ParameterizedSQL并填参数，禁用字符串拼接；Talend须勾选Use PreparedStatement且禁混用${}；dbt的Jinja变量非参数化，需白名单校验；Spark SQL不支持参数化，须用filter或jdbc predicates。
在ETL数据管道中防止SQL注入，核心就一条：所有用户可控输入（包括上游字段值、配置参数、外部API返回内容）一旦要进SQL语句，必须走预编译参数化路径；任何字符串拼接都是高危操作。
Apache NiFi里ExecuteSQL处理器怎么防注入
NiFi默认不防注入——ExecuteSQL处理器若用表达式语言（如${sql.query}）动态拼接SQL，且未启用ParameterizedSQL模式，就等于把数据库裸露给上游数据。
- ✅ 正确做法：勾选「Use Parameterized SQL」，SQL中写
WHERE name = ? AND status IN (?, ?)，再在「Parameters」列表里逐行填入字段名、类型、值来源（如${flowfile.attr.name}或${my_input_status}） - ❌ 错误写法：
sql.query = "SELECT * FROM users WHERE name = '${flowfile.attr.name}'"—— 单引号一出现，' OR '1'='1就直接生效 - ⚠️ 注意：
ParameterizedSQL只对WHERE/HAVING等值条件有效；表名、列名、ORDER BY字段不能参数化，这类动态结构必须白名单校验或硬编码
Talend的tMysqlRow和tMysqlInput组件踩坑点
Talend默认用的是Statement，不是PreparedStatement——这意味着哪怕你写了WHERE id = ?，只要没手动开启开关，问号就是字面量，不会被替换。
- ✅ 必须勾选「Use PreparedStatement」，且SQL编辑框里只允许用
?占位（不能写${row1.id}或#{context.id}） - ✅ 参数表格中「Type」必须匹配真实数据库类型（比如MySQL的
INT字段不能设成VARCHAR，否则可能触发隐式转换绕过） - ❌ 常见错误：勾选了开关，但SQL里仍混用
${...}变量——NiFi/Talend这类工具的表达式引擎和JDBC预编译是两层，前者在应用层拼串，后者在驱动层隔离，不能共存
dbt中Jinja模板和参数化查询的混淆风险
{{ var('filter_value') }}不是参数化，是模板渲染——它发生在SQL生成阶段，输出结果直接塞进spark.sql()或postgres.execute()，和字符串拼接无异。
- ✅ 安全写法：用
WHERE country IN {{ ['CN', 'US'] | inclause }}这类内置宏，或通过ref('stg_users')引用已清洗表，避免原始输入直通SQL - ✅ CLI传参时加白名单校验：
dbt run --vars '{"country": "CN"}'，然后在models/里用{% if var('country') in ['CN', 'US', 'JP'] %}WHERE country = '{{ var("country") }}'{% endif %} - ❌ 危险写法：
WHERE status = '{{ var("status_filter") }}'+ 从Airflow传入status_filter: "active' --"→ 注入立刻生效
Spark SQL（PySpark）中spark.sql()的硬性禁令
截至2026年9月，spark.sql()函数仍不支持运行时参数绑定——它只接受完整SQL字符串，内部不做任何预编译或转义。
- ✅ 替代方案：用
DataFrame.filter()链式调用，或改用spark.read.jdbc()配合properties={"user": ..., "password": ...}和predicates参数传条件 - ✅ 若必须用
spark.sql()，所有变量必须经双重校验：先正则匹配（如^[a-zA-Z0-9_]{1,32}$），再查白名单表确认存在 - ⚠️ 关键事实：PySpark没有
PreparedStatement等价物；所谓“参数化”只能靠业务层拦截，不能依赖底层驱动
最易被忽略的一点：ETL中大量使用「动态表名」或「分区字段」，这类无法参数化的场景，往往成为注入突破口。不要指望过滤单引号能解决问题——攻击者会用十六进制编码、Unicode变体或注释符绕过。唯一可靠的方式是严格白名单 + 元数据校验，而不是在字符串层面打补丁。
