模型全程不碰 SQL，查询反而更安全？让 AI 写 SQL 等于埋雷：老哥翻出 6 年前冷门库，一招堵死注入漏洞

大白话现在很多人想让 AI 用大白话查数据库，最省事的做法是把模型吐出来的 SQL 直接塞进查询里——这跟当年把用户输入拼进 SQL 一样危险。这位开发者翻出自己 2020 年用 Python 重写的旧库，让模型只输出一段简单 JSON，比如「查 age 大于 30 的人」，再由库校验字段、拼成安全的参数化查询。模型全程不碰 SQL，也就没法乱写。

对你意味着如果你在做「自然语言查数据库」这类功能，这套思路能直接抄；别让模型直接产出可执行 SQL。