MySQL自定义函数禁止使用PREPARE/EXECUTE，参数只能作为标量值参与硬编码SQL；安全做法是数字强转（CAST/CONVERT）加字符串白名单校验，严禁字符串拼接；ORDER BY/LIMIT动态化等场景须移至应用层或改用存储过程。
MySQL自定义函数里不能用PREPARE语句绑定参数
MySQL的CREATE FUNCTION语法明确禁止在函数体内使用PREPARE、EXECUTE或DEALLOCATE PREPARE。这意味着你无法在函数中像存储过程那样动态构造带?占位符的安全查询。所有SQL结构（包括表名、字段名、WHERE条件）都必须硬编码，用户输入只能作为纯值参与计算——但一旦你试图拼接字符串进SQL，就掉进注入陷阱。
唯一安全的输入处理方式是类型强转 + 白名单校验
自定义函数接收的参数本质是标量（INT、VARCHAR等），不支持预编译绑定，所以防御必须前置到调用层和函数内部双重控制：
- 对数字类参数（如
user_id）直接用CAST(param AS UNSIGNED)或CONVERT(param, SIGNED)，非数字会转成0或报错，避免被当字符串解析 - 对字符串类参数（如
status_code）必须匹配白名单：CASE param WHEN 'active' THEN 'active' WHEN 'inactive' THEN 'inactive' ELSE NULL END，返回NULL即拒绝非法值 - 绝对不要用
CONCAT('SELECT * FROM users WHERE status = ''', param, '''')这类拼接——哪怕加了REPLACE(param, "'", "''")也挡不住十六进制绕过（如0x276f7227）
ORDER BY / LIMIT / IN子句动态化时必须放弃函数封装
如果业务逻辑要求根据用户输入决定排序字段（如ORDER BY ?）或IN列表长度可变，MySQL自定义函数完全无解。这些场景的SQL结构本身依赖用户输入，而函数无法做白名单枚举（比如100个可能的字段名）。此时必须：
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- 把这部分逻辑移到应用层（PHP/Java/Python），用语言原生的枚举或配置数组校验字段名
- 用
PREPARE+EXECUTE在存储过程中实现（存储过程允许动态SQL，且可设SQL SECURITY DEFINER限制权限） - 接受
LIMIT只支持两个整数参数的事实：LIMIT ?, ?可用CAST确保为正整数，但LIMIT 10 OFFSET ?中的OFFSET仍需白名单范围检查（如IF offset > 10000 THEN NULL ELSE offset END IF）
别指望addslashes()或REPLACE()能防住宽字节注入
MySQL函数内没有mysql_real_escape_string()对应物，REPLACE(str, "'", "\'")在gbk等多字节字符集下形同虚设——攻击者可用%A1%AA构造截断单引号。更糟的是，函数执行环境默认不校验连接字符集，SET NAMES gbk后所有字符串操作都按gbk解析。真正有效的做法只有两个：
- 在应用层连接数据库时强制指定
utf8mb4并设置character_set_client=utf8mb4 - 函数内部用
HEX(param)检查是否含非法字节序列（如0xA13C这种gbk伪中断字节），发现即返回NULL
复杂点在于：MySQL自定义函数是无状态的纯计算单元，它看不到客户端连接属性，也无法抛出带上下文的错误。所有校验必须收敛到返回NULL或默认安全值，由调用方判断是否中止流程。
