查询支持用户指定列名，如何避免SQL注入？ {{ select(1) }}

• 把任意列名放进普通值占位符即可
• 只转义字符串引号后拼接任意列名
• 只拦截空格而不核查允许排序字段
• 对字段采用白名单并安全构造查询

满分 2 分。数据产品开发技术人员 · 产品功能与接口开发 · 进阶。题族 PROD-F045，同题族不要出现在同一张卷。状态：内部待专家复核。组卷：待审通过后可用。