动态表名/字段名必须白名单校验，不可参数化；psycopg2等驱动不支持DDL语句中用%s或?绑定标识符，硬塞会报错；须用ALLOWED_TABLES校验或psycopg2.sql.Identifier()（已过滤后），并禁用迁移账号的CREATE/DROP/ALTER权限。
动态表名/字段名必须走白名单校验，不能参数化
psycopg2、mysqlclient 等驱动对 CREATE TABLE、ALTER TABLE 这类 DDL 语句不支持占位符（%s 或 ?）绑定表名或字段名——这不是 bug，是协议限制。硬塞参数会直接报错 TypeError: not all arguments converted 或执行失败。
常见错误写法：cursor.execute(f"CREATE TABLE {table_name} (...)"，若 table_name 来自配置文件或命令行，就等于把建表权交出去。
- 必须显式定义允许的标识符集合，例如：
ALLOWED_TABLES = {"logs_v1", "logs_v2", "events_archive"} - 校验逻辑要严格：
if table_name not in ALLOWED_TABLES: raise ValueError("Invalid table name") - PostgreSQL 用户可改用
psycopg2.sql模块：from psycopg2 import sql; query = sql.SQL("CREATE TABLE {} (...)").format(sql.Identifier(table_name))，但前提是table_name已经过白名单过滤
禁止在迁移脚本里用 addslashes() 或 mysql_real_escape_string()
老脚本常靠 addslashes() “处理”用户传入的字段名，比如 "user_name".replace("'", "\'")，但这完全无效——攻击者用 user_name 字段本身含 /* DROP TABLE */ 或双字节编码绕过，数据库照样执行。
这类函数只对单引号、反斜杠做转义，而 DDL 注入常依赖注释符（--）、换行、空格、分号堆叠（;），addslashes() 对它们毫无反应。
- 立刻删除所有
addslashes()、mysql_real_escape_string()、mysqli_real_escape_string()调用 - 若需拼接 DDL 模板，用预定义键值映射代替字符串操作，例如：
TEMPLATE_MAP = {"log_v2": "CREATE TABLE logs_v2 (id SERIAL, data JSONB)"}，再通过TEMPLATE_MAP.get(user_input)获取，未命中则拒绝 - MySQL 用户注意：
CONCAT()函数在 SQL 层拼接也不安全，它仍属动态执行，不能替代白名单
迁移账号必须禁用 DDL 权限，且验证方式要实操
即使代码层做了白名单，也不能假设它永远不出错。DDL 权限（CREATE、DROP、ALTER、TRUNCATE）必须从数据库账号层面掐死——这是最后一道物理防线。
典型误判：以为“脚本只跑一次”就用 root 连生产库，结果一个拼写错误或配置错位，DROP TABLE users 就真执行了。
- MySQL 验证命令：
SHOW GRANTS FOR 'migrate_user'@'%';，输出中不能出现CREATE、DROP、ALTER、GRANT OPTION - PostgreSQL 验证命令：
du migrate_user查角色属性，再查具体权限：SELECT * FROM pg_roles WHERE rolname = 'migrate_user';，确认无CREATEDB、CREATEROLE - 实操测试：用该账号登录后执行
DROP TABLE IF EXISTS test_foo;，必须返回permission denied，而不是语法错误或表不存在
DDL 模板里的变量必须与数据值严格分离
一个容易被忽略的点：DDL 中既有结构部分（表名、字段名、索引名），也可能混入数据值（如 DEFAULT '2026-01-01' 或分区值）。这两类必须用不同机制处理——前者靠白名单或 sql.Identifier()，后者才走参数化或类型转换。
错误示例：cursor.execute(f"ALTER TABLE {table} ADD COLUMN ts TIMESTAMP DEFAULT '{now}'")，这里 {table} 是结构风险点，{now} 是数据风险点，但都用了字符串拼接。
- 正确拆解：
table_name先白名单校验；now改用参数化：cursor.execute("ALTER TABLE %s ADD COLUMN ts TIMESTAMP DEFAULT %s", (table_name, now))（MySQL）或用sql.SQL+sql.Literal（PostgreSQL） - 时间、枚举、数字等常量，优先用数据库原生类型传递，避免字符串格式陷阱（如时区、精度丢失）
- 分区键、分表后缀等看似“结构”的内容，如果由运行时计算得出（如按月分表
logs_202609），必须加额外校验规则，不能仅靠正则匹配数字
DDL 操作不像 DML 那样能靠预处理语句兜底，它的安全性完全依赖三件事：白名单是否穷尽、权限是否真锁死、模板变量是否分得清。任何一环松动，都可能让迁移脚本变成删库脚本。
