需识别动态拼接点、参数化边界及数据库驱动约束，再按四步改写：一、定位外部输入拼接位置并提取为参数；二、依数据库方言替换占位符；三、用COALESCE或IS NULL重构可选WHERE条件；四、对ORDER BY和LIMIT实施白名单或类型校验。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 免费无限量使用 DeepSeek R1 模型☜☜☜
如果您在进行SQL注入防御测试时，希望借助DeepSeek分析现有SQL语句并生成安全的预编译语句改写方案，则需明确识别动态拼接点、参数化边界及数据库驱动约束。以下是针对不同场景的改写操作步骤：
一、识别字符串拼接位置并提取参数变量
预编译语句的安全前提在于将用户输入完全剥离出SQL结构体，仅作为绑定参数存在。必须定位所有使用+、||、CONCAT()、f-string或${}等机制拼入SQL的变量，并为其分配独立占位符。
1、扫描源代码中所有执行SQL的函数调用，如execute()、query()、db.execute()等。
2、检查SQL字符串内部是否包含单引号包裹的变量名、花括号插值或加号连接的变量表达式。
3、对每个疑似拼接点，确认该变量是否直接来源于request.args、form.get()、headers等外部输入源。
4、将识别出的变量统一重命名为语义清晰的参数标识符，例如将user_input改为:user_id或:search_term。
二、按数据库方言替换为对应预编译语法
不同数据库系统采用差异化的参数占位符和绑定机制，改写时须严格匹配目标环境的驱动规范，避免因语法不兼容导致查询失败或绕过参数化。
1、若后端使用Python + psycopg2（PostgreSQL），将所有?或%s替换为%s，并确保execute()调用时传入元组或字典参数。
2、若后端使用Java + JDBC（MySQL/Oracle），将字符串中的'"+var+"'全部删除，替换为?，并在PreparedStatement#setString()中逐个绑定。
3、若后端使用Node.js + pg（PostgreSQL），将拼接SQL改为使用$1、$2等序号占位符，并在query()调用中以数组形式提供参数值。
4、若SQL含动态表名或列名（无法参数化），则必须改用白名单校验机制，禁止任何形式的运行时拼接。
三、重构WHERE子句中的多条件组合逻辑
当查询涉及可选参数（如搜索字段为空时忽略该条件），需避免通过字符串拼接追加AND子句，而应采用参数化条件开关与COALESCE或IS NULL联合判断。
1、将原始语句中类似" AND name = '"+name+"'"的片段移除，改写为" AND (COALESCE(%s, '') = '' OR name = %s)"。
2、对每个可选字段，准备两个绑定参数：一个用于判空，一个用于匹配值，两者保持顺序一致。
3、若使用PostgreSQL，可用$1 IS NULL OR column = $1结构，在调用时传入NULL或实际值。
4、禁止使用字符串格式化函数（如format()、replace()）处理SQL主体，所有逻辑迁移至WHERE条件内部。
四、验证ORDER BY与LIMIT子句的安全性
ORDER BY列名和LIMIT数值属于SQL结构组成部分，不可直接参数化，必须通过枚举白名单或类型强转方式控制，否则仍存在注入风险。
1、将原始语句中" ORDER BY "+sort_field替换为固定字段列表映射，例如{'name': 'name', 'age': 'age'}，仅允许键存在时取值。
2、对LIMIT数值，强制转换为整型并限定范围，如int(limit_str) if 1
3、在SQL中显式写出ORDER BY name而非ORDER BY %s，绑定值仅用于排序方向（ASC/DESC）时，须限定为枚举字符串。
4、严禁将用户输入直接插入ORDER BY、GROUP BY、UNION SELECT或表别名位置。
五、嵌套子查询与UNION场景的参数隔离
复杂查询常包含子查询或UNION操作，此时各分支均需独立参数化，且外层无法代理内层绑定，必须分层拆解并分别构造参数序列。
1、将UNION左右两侧的SELECT语句分别提取，各自识别参数并分配独立占位符编号。
2、若子查询中引用了外层变量，需改用JOIN或WITH子句重写，使参数作用域清晰可绑定。
3、对含有IN (?)的语句，不能仅传入单个字符串，须根据实际元素数量生成对应数量的?，如IN (?, ?, ?)，再绑定列表展开值。
4、当使用psycopg2时，IN列表需通过tuple()包装并用*展开；使用sqlite3时需手动构建占位符串。
