Sqlalchemy bindparamの代わりにliteral_columnを使うべきですか？

Question

それにも拘わらず、SQLインジェクションを排除するためには一般的にbindparamが使われているようです。しかし、どのような状況での代わりにbindparamを使用する必要がありますか？SQLインジェクションを防止するためにはどのような対策が必要ですか？

Answer 1

literal_columnは、列名をパラメータ化できないため（クエリ自体の一部であるため）、パラメータ（値）ではなく、列のリテラル名として使用することを意図しています。 値をクエリに含めるには、通常はliteral_columnを使用しないでください。列名のみです。列名の入力を受け入れる場合は、それらの名前をホワイトリストに追加する必要があります。

ただし、SQLAlchemyで直接サポートされていない複雑な式を出力したい場合があります。literal_columnでは、基本的に自由形式のテキストをクエリに入れることができます。このような場合は、ユーザーが入力した式の一部（値など）が引き続きバインドパラメータによって渡されるようにする必要があります。