用字符串拼接构建SQL查询可能带来安全风险，但这是否适用于你自己的API？
我们常听说字符串拼接容易导致SQL注入，但这个说法是否总是成立？
比如你在开发一个内部工具，所有调用都来自你自己的团队。这种情况下，字符串拼接是否就安全了？
答案或许并不那么绝对。
SQL注入的核心在于输入未被正确校验，而不管你是用字符串拼接还是参数化查询。
设想一下，你有一个API，只供内部使用。你认为只要团队成员不会恶意输入，就无需担心注入？
这听起来很合理，但现实中，边界条件与信任的边界往往不一致。
比如，一个团队成员可能因为疏忽，输入了恶意数据。或者，API虽然只供内部使用，但可能被其他部门误用。
这时候，字符串拼接就可能成为隐患。
更进一步，参数化查询并非万能。
比如在MySQL中，使用CONCAT()函数拼接字符串时，如果参数未被正确过滤，仍然可能引发漏洞。
还记得那句话吗？“防御性编程不是一种选择，而是一种责任”。
那么问题来了，你是否真的了解你所使用的数据库和编程语言在处理字符串拼接时的安全机制？
比如在PostgreSQL中，如何正确使用format()函数避免注入？
又比如，在Python中使用sqlite3模块时，是否真的能防止所有注入场景？
我们常常将安全责任寄托于工具或框架，但有时候，选择合适的工具和实践才是真正的防御之道。
参数化查询是推荐的做法，但它的实现细节可能因数据库而异。
比如在MySQL中，PreparedStatement会自动处理一些转义，但并不意味着它完全免疫注入。
你是否曾遇到过因参数化查询未正确使用而引发的漏洞？
另外，存储过程也是一种常用手段。
通过将查询逻辑封装在存储过程中，可以减少直接拼接SQL的风险。
但存储过程的使用也有其局限性。
比如在分布式系统中，存储过程可能难以跨数据库协调。
这又回到了NewSQL数据库的讨论。
像TiDB、CockroachDB、OceanBase这样的系统，它们如何处理SQL注入？
有没有什么特别的机制或设计？
我们不妨深入源码，看看这些数据库在处理用户输入时的底层逻辑。
比如在TiDB中，SQL解析和执行流程是怎样的？
有没有类似WAL、MVCC这样的机制，用来保障查询的正确性？
再比如，Raft共识协议是否在数据库的分布式事务处理中起到关键作用？
这些问题的答案，或许能帮助我们更好地理解数据库的安全边界。
你是否愿意花时间去探索这些底层实现？
关键字：SQL注入, 参数化查询, NewSQL, TiDB, CockroachDB, OceanBase, WAL, MVCC, Raft, 分布式事务, 安全边界