Экранирование зарезервированных слов в языках запросов

В современных веб‑приложениях часто возникает необходимость формировать запросы к различным «магическим» сервисам – базам данных, поисковым движкам, API GraphQL, SPARQL‑эндпоинтам и т.д. Если в тексте запроса встречаются слова, которые имеют специальное значение для языка запроса (зарезервированные ключевые слова), их необходимо экранировать, иначе сервер может интерпретировать их не так, как вы ожидали, что приведёт к ошибкам синтаксиса, некорректным результатам или даже к уязвимостям безопасности.

Что такое зарезервированные слова?

Зарезервированные слова – это идентификаторы, которые язык запроса использует для обозначения операторов, функций, типов данных или конструкций синтаксиса. Примеры:

SQL: SELECT, WHERE, ORDER, JOIN
SPARQL: PREFIX, SELECT, WHERE, FILTER
GraphQL: query, mutation, fragment, on
Elasticsearch DSL (JSON): match, term, range, bool

Если такое слово появляется в качестве значения поля, имени переменной или части строки, которое должно восприниматься как обычный текст, его надо поместить в специальный синтаксис экранирования.

Почему экранирование обязательно?

Синтаксическая корректность. Без экранирования парсер запроса может воспринять слово как часть команды, что приведёт к ошибке парсинга.
Корректность результатов. Неправильно интерпретированное зарезервированное слово может изменить смысл запроса (например, превратить условие в всегда истинное).
Безопасность. В некоторых языках (SQL, SPARQL) отсутствие экранирования открывает путь для инъекций, позволяя злоумышленнику выполнить произвольный код.

Основные способы экранирования

Способ экранирования зависит от языка запроса. Ниже перечислены наиболее распространённые подходы.

SQL‑подобные языки

В большинстве СУБД зарезервированные слова экранируются с помощью кавычек:

Двойные кавычки – стандарт ANSI SQL: "Order", "Select".
Обратные кавычки – MySQL: `Order`.
Квадратные скобки – MS SQL Server, Sybase: [Order].

Пример:

SELECT "User"."Order" FROM "User" WHERE "User"."Status" = 'active';

Если имя столбца или таблицы совпадает с зарезервированным словом, его надо заключить в соответствующие кавычки.

SPARQL

В SPARQL зарезервированные слова экранируются путём помещения их в переменные или использованием префиксов. Однако если нужно использовать зарезервированное слово как часть IRI или literal, применяются:

Кавычки для строковых литералов: "SELECT";
Экранирование символов внутри строки с помощью обратного слеша: "SEL\ECT" (редко нужно).
Использование переменной: ?select вместо прямого слова.

Пример:

PREFIX ex: <http://example.org/>
SELECT ?title WHERE {
 ?book ex:title ?title .
 FILTER (STR(?title) = "SELECT")
}

GraphQL

В GraphQL зарезервированные слова (query, mutation, subscription, fragment, on и т.д.) могут использоваться только в определённых позициях. Если нужно передать их как значение аргумента, достаточно поместить их в строковый литерал:

mutation {
 createUser(input: {username: "mutation", email: "user@example.com"}) {
 id
 }
}

Если же требуется использовать зарезервированное слово как имя поля, его нельзя – нужно выбрать другое имя или использовать псевдоним (alias):

{
 user {
 selectAlias: select # поле «select» зарезервировано, поэтому используем псевдоним
 }
}

Elasticsearch DSL (JSON)

В Elasticsearch запросы представляют собой JSON‑объекты. Зарезервированные слова здесь – это ключи JSON (match, term, range и т.д.). Если такое слово нужно использовать в качестве значения, его просто помещают в строковое значение:

{
 "query": {
 "match": {
 "field": "range" // ищем документы, где поле field содержит слово "range"
 }
 }
}

Если же нужно использовать зарезервированное слово как имя поля, его тоже можно – JSON не ограничивает имена полей, но некоторые клиентские библиотеки могут интерпретировать их как операторы. В таком случае рекомендуется добавить префикс или суффикс, например my_range.

Частые ошибки и их последствия

Отсутствие кавычек в SQL: SELECT Order FROM Orders WHERE Order = 10; → ошибка синтаксиса, так как Order воспринимается как ключевое слово.
Неправильное экранирование в SPARQL: использование SELECT без кавычек в фильтре приводит к тому, что движок пытается интерпретировать его как часть запроса.
Конфликт имён в GraphQL: попытка назвать поле mutation приводит к ошибке валидации схемы.
Двойное экранирование: применение zarówno кавычек, либо обратных слешей, что приводит к лишним символам в значении и, как следствие, к несовпадению данных.

Лучшие практики экранирования

Всегда используйте параметризованные запросы или prepared statements. Большинство драйверов БД автоматически экранируют значения, избавляя от необходимости вручную думать о зарезервированных словах.
Если формируете запрос строкой, экранируйте каждое пользовательское значение. Не доверяйте входным данным, даже если они кажутся «безопасными».
Следите за диалектом СУБД. Кавычки различаются: ANSI SQL – двойные, MySQL – обратные, MS SQL – квадратные скобки.
Для GraphQL используйте переменные. Переменные передаются отдельно от тела запроса и не требуют экранирования имён.
Тестируйте запросы на наборе данных, содержащем граничные случаи. Включайте в тесты строки, совпадающие с зарезервированными словами каждого языка.
Документируйте соглашения об именах. Если в вашей системе запрещено использовать определённые слова как имена полей, зафиксируйте это в руководстве по разработке.

Инструменты и библиотеки для автоматического экранирования

SQL: большинство ORM (Hibernate, Entity Framework, Sequelize) предоставляют методы quoteIdentifier или аналогичные.
SPARQL: библиотеки вроде rdflib (Python) имеют функцию escape для literals.
GraphQL: клиенты типа Apollo Client или urql автоматически сериализуют переменные.
Elasticsearch: официальные клиенты (elasticsearch-py, elasticsearch-js) принимают JSON‑объекты, где экранирование не требуется – достаточно передать значения как строки.

Экранирование зарезервированных слов – фундаментальная часть безопасной и корректной работы с любыми query‑языками. Понимание того, какие символы считаются специальными в конкретном диалекте, и применение соответствующих техник экранирования позволяют избежать синтаксических ошибок, получить предсказуемые результаты и защитить приложение от инъекций. Следуйте лучшим практикам, используйте параметризованные запросы и проверяйте свои запросы на наборе тестовых данных, включающего все возможные граничные случаи.

Теперь вы обладаете полным набором знаний, необходимым для правильного экранирования зарезервированных слов в запросах к магическим сайтам. Удачной разработки!