很多团队在尝试把 AI 接进数据库时第一反应都是让 AI 直接连库跑查询。真正动手后才发现这条路根本走不通——不是模型能力不够而是没人敢把生产库的权限交给一个“会一本正经胡说八道”的程序。AI 生成的 SQL 可能是对的也可能是语法正确但逻辑完全错误更危险的是如果账号权限过大一句“帮我把用户表清掉”可能真的会执行。本文要聊的就是如何构建一个安全的“AI 查询数据库”中间层。核心思路不是让 AI 直接操作数据库而是让 AI 只负责“把自然语言翻译成 SQL”由程序层控制权限、校验 SQL、限制返回量。这套方案适合快速验证 AI 查询能力也能在真实项目中作为内网数据问答系统的底座。1. 背景与核心概念1.1 为什么“让 AI 直接查数据库”不可行先看一个经常被忽略的事实大模型本身不连接数据库它只负责“生成文本”。如果你在提示词里塞入数据库账号密码让模型自己去查询它的运行机制决定了它无法真正稳定地建立连接、分页、处理超时、应对网络闪断——这些是工程问题不是语言模型擅长的事情。更关键的是安全问题模型生成的 SQL 不经过校验可能带上DELETE、DROP、UPDATE等危险操作。开发调试时容易把数据库地址、用户名、密码写入 Prompt 或日志造成连接信息泄露。AI 不知道数据库的权限边界它只是根据你的描述“猜”该执行什么。缺少行数限制时一次全表扫描可能直接拖垮业务库。所以正确的架构应当是三层分离AI 模型负责将用户问题转换为 SQL 语句。程序中间层负责校验、改写、授权、记录日志。数据库账号只暴露最小的只读或受限权限。1.2 NL2SQL 是什么把自然语言转换为 SQL 的技术方向业内称为 NL2SQLNatural Language to SQL也叫 Text-to-SQL。这个方向并不新鲜早在 BERT 时代就有很多相关模型和数据集。大模型流行之后NL2SQL 的落地门槛大幅降低因为 ChatGPT 这类通用模型在代码生成和指令理解上的表现已经足够好。通用的处理链路如下用户提问自然语言 ↓ 收集数据库 Schema 信息表结构、字段注释、示例值 ↓ 构造 Prompt系统提示词 业务规则 表结构 用户问题 ↓ 大模型生成 SQL ↓ 程序校验 SQL只允许 SELECT、强制 LIMIT、关键词拦截 ↓ 执行查询返回结构化结果你会发现模型在整个链路里只扮演“翻译官”的角色真正的权限控制和数据读取都由中间层来做。这就是“放心把数据库查询交给 AI”的基础。1.3 本文能帮你解决什么问题读完本文后你可以理解 AI 查询数据库的安全底线是什么。独立搭建一个可运行的 Python Demo用自然语言查询 SQLite 或 MySQL。掌握 SQL 校验的几种常用手段。知道如何从 Schema 和提示词两个层面减少错误 SQL 的产生。在真实项目中引入 AI 数据问答时避开最常见的坑。2. 环境准备与版本说明2.1 环境依赖本文以 Python 3 作为开发语言使用 SQLite 作为示例数据库。SQLite 无需额外启动服务对新手最友好如果你的项目使用 MySQL只需要替换连接驱动和数据库连接串校验逻辑完全一致。依赖清单如下Python 3.10openai 1.0.0 或任意兼容 OpenAI 接口的 SDKpython-dotenv一个可用的大模型 API Key示例中我会使用 OpenAI 兼容的接口调用方式如果你使用的是国内其他大模型平台只需要修改base_url和api_key即可。安装依赖pip install openai python-dotenv2.2 准备示例数据库为了便于演示我们先创建一个 SQLite 数据库包含两张表employees员工表和departments部门表。# 文件路径init_db.py import sqlite3 conn sqlite3.connect(demo.db) cursor conn.cursor() cursor.execute( CREATE TABLE IF NOT EXISTS departments ( id INTEGER PRIMARY KEY, name TEXT NOT NULL ) ) cursor.execute( CREATE TABLE IF NOT EXISTS employees ( id INTEGER PRIMARY KEY, name TEXT NOT NULL, department_id INTEGER, salary REAL, join_date TEXT, FOREIGN KEY (department_id) REFERENCES departments(id) ) ) departments [ (1, 技术部), (2, 产品部), (3, 市场部), ] cursor.executemany(INSERT OR IGNORE INTO departments (id, name) VALUES (?, ?), departments) employees [ (1, 张伟, 1, 18000, 2021-03-15), (2, 李娜, 1, 15000, 2022-07-01), (3, 王强, 2, 12000, 2020-11-20), (4, 赵敏, 2, 11000, 2023-02-10), (5, 刘洋, 3, 9000, 2019-05-08), ] cursor.executemany(INSERT OR IGNORE INTO employees (id, name, department_id, salary, join_date) VALUES (?, ?, ?, ?, ?), employees) conn.commit() conn.close() print(数据库初始化完成)运行方式python init_db.py运行后当前目录下会生成demo.db文件。3. 安全查询中间层的核心设计动手编码之前先想清楚四个设计要点这决定了你的系统在真实数据上是“可用”还是“高危”。3.1 最小权限账号不要把数据库管理员账号配置给 AI 链路。正确做法是创建一个单独的数据库账号只授予必要的权限。以 MySQL 为例CREATE USER ai_reader% IDENTIFIED BY your_strong_password; GRANT SELECT ON your_db.* TO ai_reader%; FLUSH PRIVILEGES;如果业务允许甚至可以只授权某几张表GRANT SELECT ON your_db.employees TO ai_reader%; GRANT SELECT ON your_db.departments TO ai_reader%;对于 SQLite 这类文件型数据库权限控制体现在“给程序使用一个只读连接”或者“在程序外层做白名单约束”。生产环境不建议直接用 SQLite 作为多用户服务的存储这里仅作为演示。3.2 Schema 白名单很多 AI 查询做不好不是因为模型笨而是你给了太多无关信息。试想一个数据库有 200 张表你把全部建表语句都塞进 Prompt模型很容易在生成 SQL 时“迷路”选了错误的关联字段。推荐做法只暴露用户需要查询的业务表。每张表只保留关键字段。在字段后面补充注释帮助模型理解字段含义。提供 1 到 2 条示例数据让模型知道字段里存的是什么。3.3 SQL 生成与执行分离原则很简单AI 永远不直接执行 SQL。 AI 只返回 SQL 文本。 程序解析 SQL 文本校验通过后再用专门的数据库连接执行。这样做的好处是可以在执行前做正则拦截拒绝明显危险的语句。可以记录完整的审计日志。可以随时在中间层加入磁密脱敏、行数限制、超时控制等策略。即使模型被 Prompt 注入诱导生成恶意 SQL也会被校验层拦截。3.4 强制安全兜底无论输入什么最终执行 SQL 前都要强制应用以下三个规则只允许单条查询语句。只允许SELECT开头不允许;拼接多条语句。自动追加LIMIT子句。这三个规则能挡住绝大多数“失控”情况。4. 完整实战自然语言查询 SQLite下面我们实现一个完整的 Demo。整个项目结构如下demo/ ├── .env # 存放 API Key ├── config.py # 加载配置 ├── schema.py # 读取表结构 ├── ai_query.py # 调用大模型生成 SQL ├── sql_checker.py # SQL 校验与改写 ├── main.py # 主流程 └── demo.db # SQLite 数据库4.1 配置环境变量在项目根目录创建.env文件OPENAI_API_KEY你的_API_Key OPENAI_BASE_URLhttps://api.openai.com/v1 OPENAI_MODELgpt-4o-mini如果你的模型服务商兼容 OpenAI 接口只需替换OPENAI_BASE_URL即可例如某些国内模型的地址是https://your-endpoint/v1。4.2 加载配置# 文件路径config.py import os from dotenv import load_dotenv load_dotenv() OPENAI_API_KEY os.getenv(OPENAI_API_KEY) OPENAI_BASE_URL os.getenv(OPENAI_BASE_URL, https://api.openai.com/v1) OPENAI_MODEL os.getenv(OPENAI_MODEL, gpt-4o-mini) DB_PATH demo.db4.3 读取表结构这一步很关键。我们需要将数据库结构整理成一段纯文本让模型能看懂数据库中有哪些表、哪些字段、字段含义是什么。# 文件路径schema.py import sqlite3 from config import DB_PATH def get_table_schema() - str: conn sqlite3.connect(DB_PATH) cursor conn.cursor() schema_lines [] # 读取所有表名 cursor.execute(SELECT name FROM sqlite_master WHERE typetable AND name NOT LIKE sqlite_%) tables [row[0] for row in cursor.fetchall()] for table in tables: schema_lines.append(f表名: {table}) cursor.execute(fPRAGMA table_info({table})) columns cursor.fetchall() for col in columns: cid, name, col_type, notnull, default_val, pk col schema_lines.append(f - 字段: {name}, 类型: {col_type}, 主键: {bool(pk)}) # 取一条示例数据帮助模型理解字段的实际含义 cursor.execute(fSELECT * FROM {table} LIMIT 2) samples cursor.fetchall() if samples: sample_text ; .join([str(row) for row in samples]) schema_lines.append(f 示例数据: {sample_text}) schema_lines.append() conn.close() return \n.join(schema_lines) if __name__ __main__: print(get_table_schema())运行结果会类似表名: departments - 字段: id, 类型: INTEGER, 主键: True - 字段: name, 类型: TEXT, 主键: False 示例数据: (1, 技术部); (2, 产品部) 表名: employees - 字段: id, 类型: INTEGER, 主键: True - 字段: name, 类型: TEXT, 主键: False - 字段: department_id, 类型: INTEGER, 主键: False - 字段: salary, 类型: REAL, 主键: False - 字段: join_date, 类型: TEXT, 主键: False 示例数据: (1, 张伟, 1, 18000.0, 2021-03-15)4.4 构造 Prompt 并调用大模型这里有一条重要经验提示词里一定要告诉模型“你只能生成 SELECT 查询”并且给出明确的输出格式要求只输出 SQL不要输出额外说明。# 文件路径ai_query.py from openai import OpenAI from config import OPENAI_API_KEY, OPENAI_BASE_URL, OPENAI_MODEL client OpenAI( api_keyOPENAI_API_KEY, base_urlOPENAI_BASE_URL ) def build_prompt(schema: str, question: str) - str: prompt f 你是一名资深 SQL 工程师。请根据以下数据库 Schema将用户的自然语言问题转换为 SQLite 查询语句。 约束条件 1. 只允许生成 SELECT 查询禁止生成 INSERT、UPDATE、DELETE、DROP、ALTER 等语句。 2. 不得生成多条 SQL只能生成一条 SELECT 语句。 3. 如果用户请求不明确生成最安全的查询并加上合理过滤条件。 4. 输出格式为纯 SQL不要添加任何解释、注释或 Markdown 代码块标记。 5. 不要使用数据库不存在的字段名。 数据库 Schema {schema} 用户问题{question} return prompt def generate_sql(schema: str, question: str) - str: prompt build_prompt(schema, question) response client.chat.completions.create( modelOPENAI_MODEL, messages[ {role: system, content: 你是一个只输出 SQL 的助手。}, {role: user, content: prompt} ], temperature0 ) sql response.choices[0].message.content.strip() # 去掉可能的 Markdown 代码块标记 if sql.startswith(): sql sql.strip() if sql.startswith(sql): sql sql[2:] return sql.strip()这里将temperature设置为 0是为了让模型输出更加稳定减少随机性。SQL 生成场景下我们不希望模型“太有想象力”。4.5 SQL 校验与执行校验是整个安全的最后一道闸门也是最不能省略的部分。# 文件路径sql_checker.py import re import sqlite3 from config import DB_PATH BANNED_KEYWORDS [INSERT, UPDATE, DELETE, DROP, ALTER, CREATE, TRUNCATE, REPLACE] def validate_sql(sql: str) - bool: # 1. 只允许一条语句不能包含分号拼接 if sql.count(;) 0: if not sql.rstrip().endswith(;) or sql.rstrip().rstrip(;).count(;) 0: return False # 2. 只允许 SELECT 开头 stripped sql.lstrip().rstrip(;).strip() if not stripped.upper().startswith(SELECT): return False # 3. 禁止危险关键字 sql_upper stripped.upper() for keyword in BANNED_KEYWORDS: if re.search(rf\b{keyword}\b, sql_upper): return False return True def add_limit(sql: str, limit: int 100) - str: stripped sql.rstrip().rstrip(;).strip() if re.search(r\bLIMIT\s\d, stripped, re.IGNORECASE): return stripped ; return stripped f LIMIT {limit}; def execute_query(sql: str) - list[dict]: if not validate_sql(sql): raise ValueError(SQL 校验未通过已拦截该查询) safe_sql add_limit(sql, limit100) conn sqlite3.connect(DB_PATH) conn.row_factory sqlite3.Row cursor conn.cursor() cursor.execute(safe_sql) rows [dict(row) for row in cursor.fetchall()] conn.close() return rows4.6 主流程整合# 文件路径main.py from schema import get_table_schema from ai_query import generate_sql from sql_checker import execute_query def main(): question input(请输入你的问题例如技术部的员工工资最高的是谁: ).strip() schema get_table_schema() print(\n--- 数据库 Schema ---) print(schema) print(\n--- 生成的 SQL ---) sql generate_sql(schema, question) print(sql) print(\n--- 查询结果 ---) try: results execute_query(sql) for idx, row in enumerate(results, 1): print(idx, row) except ValueError as e: print(拦截错误:, e) if __name__ __main__: main()运行python main.py输入示例请输入你的问题例如技术部的员工工资最高的是谁: 技术部工资最高的员工是谁可能的模型输出SELECT e.name, e.salary FROM employees e JOIN departments d ON e.department_id d.id WHERE d.name 技术部 ORDER BY e.salary DESC LIMIT 1;真实输出取决于你使用的模型。如果你的模型没有生成ORDER BY排序那只是模型能力或提示词层面的偏差可以进一步在提示词中强调“当涉及最高、最低、最多等语义时请使用 ORDER BY 配合 LIMIT”。4.7 结果说明schema.py负责动态读取表结构避免手动维护数据库结构文档。ai_query.py只负责生成 SQL不接触数据库连接。sql_checker.py做三层校验单条语句、SELECT 白名单、危险关键字拦截。execute_query强制添加LIMIT防止全表返回。这套 Demo 已经具备“安全查询”的最小闭环。5. 进阶从单次查询到 AI Agent上面的方案是“一问一答”模式。真实业务中用户可能会提出更复杂的请求比如“先看一下今年入职的员工分布在哪些部门然后统计每个部门的平均薪资”。这种问题往往需要多轮查询或拆解成多个子查询。这时可以引入 Function Calling工具调用模式让模型自己决定是否需要查询数据库。核心思路是将execute_query包装成一个工具函数。通过tools参数声明这个工具。模型在多轮对话中判断是否需要调用工具。如果调用则执行 SQL 并将结果返回给模型由模型继续组织回答。示例代码如下# 文件路径agent_demo.py from openai import OpenAI from schema import get_table_schema from sql_checker import execute_query from config import OPENAI_API_KEY, OPENAI_BASE_URL, OPENAI_MODEL client OpenAI(api_keyOPENAI_API_KEY, base_urlOPENAI_BASE_URL) tools [ { type: function, function: { name: query_database, description: 根据用户问题生成 SQL 并查询 SQLite 数据库返回查询结果, parameters: { type: object, properties: { sql: { type: string, description: 要执行的 SELECT SQL 语句 } }, required: [sql] } } } ] def query_database(sql: str): try: results execute_query(sql) return str(results) except Exception as e: return f查询失败: {e} def chat(question: str): messages [ {role: system, content: 你是一个数据查询助手。需要查询数据时请调用 query_database 工具。基于查询结果回答用户问题。}, {role: user, content: question} ] response client.chat.completions.create( modelOPENAI_MODEL, messagesmessages, toolstools, tool_choiceauto ) msg response.choices[0].message if msg.tool_calls: # 模型决定调用工具 for tool_call in msg.tool_calls: function_name tool_call.function.name arguments eval(tool_call.function.arguments) if function_name query_database: tool_result query_database(arguments[sql]) messages.append({ role: tool, tool_call_id: tool_call.id, content: tool_result }) # 让模型基于查询结果生成最终回答 second_response client.chat.completions.create( modelOPENAI_MODEL, messagesmessages, toolstools ) return second_response.choices[0].message.content return msg.content if __name__ __main__: question 技术部和产品部的平均工资分别是多少 answer chat(question) print(answer)这个模式的优势是模型可以自主决定是否需要查询、查询几次同时所有 SQL 仍然经过execute_query的安全校验。你还可以在此基础上添加“查询后自动总结”的逻辑形成更完整的问答体验。6. 常见问题与排查思路问题现象常见原因解决思路模型生成 SQL 时表名不存在未在 Prompt 中提供完整 Schema打印实际传给模型的 Schema确认表名和字段名是否正确模型生成的 SQL 包含DELETE或UPDATE提示词约束不足或用户输入诱导加大提示词约束在sql_checker中做强关键词拦截查询速度很慢缺少索引或扫描全表为高频查询字段建立索引在提示词中限制必须带过滤条件返回结果太多导致内存溢出缺少 LIMIT强制在execute_query中追加 LIMIT模型回答与数据库实际值不符模型未真正查询而是“编造”结果检查是否调用了工具函数确认tools参数和 tool_choice 是否配置正确API 调用报错API Key 错误或 base_url 不匹配检查.env配置先使用 curl 或 OpenAI SDK 原生命令验证连通性中文编码问题控制台或数据库字符集不一致SQLite 一般无此问题MySQL 需要确认连接串中charsetutf8mb4SQL 校验误拦截了合法 SELECT检查规则过于严格例如表名包含 banned 词将关键词匹配限定为完整单词允许白名单表前缀排查时建议按以下顺序确认 API 调用成功拿到模型返回的原始文本。打印模型生成的 SQL检查语法和表名。手动在数据库中执行这条 SQL看是否能跑通、是否安全。确认校验层是否误拦截拦截日志是否完整。7. 生产环境落地的最佳实践Demo 可以跑通只是第一步。真正投入生产时下面这些建议比“跑通”重要得多。7.1 权限最小化生产环境一定要独立创建数据库账号绝不能使用root或管理员账号。MySQL 示例CREATE USER ai_query10.0.0.% IDENTIFIED BY strong-password; GRANT SELECT ON your_db.employees TO ai_query10.0.0.%; GRANT SELECT ON your_db.departments TO ai_query10.0.0.%;如果业务允许限制账号只允许来源 IP 访问CREATE USER ai_query10.0.0.5 IDENTIFIED BY strong-password;7.2 敏感字段脱敏数据库中有手机号、身份证号、邮箱等敏感信息时即使 SQL 校验通过也不应该把原始数据直接交给用户。常见的做法def mask_sensitive_data(rows: list[dict]) - list[dict]: sensitive_fields {phone, mobile, id_card, email} for row in rows: for key in sensitive_fields: if key in row and row[key]: value str(row[key]) if len(value) 7: row[key] value[:3] **** value[-4:] else: row[key] **** return rows7.3 SQL 超时控制飞快的查询也可能因为数据量增长而变慢。MySQL 可以在执行前设置超时时间SET SESSION MAX_EXECUTION_TIME 3000;或者在 Python 驱动层设置超时参数。原则是AI 查询不应该是“无限等待”的查询。7.4 审计日志记录每一次 AI 查询的原始问题、生成的 SQL、校验结果、执行耗时、返回行数。这既是排查问题的依据也是评估模型准确率的基础。import time import json def log_audit(question: str, sql: str, results_count: int, duration: float, passed: bool): log_entry { time: time.strftime(%Y-%m-%d %H:%M:%S), question: question, sql: sql, results_count: results_count, duration: duration, passed: passed } with open(audit.log, a, encodingutf-8) as f: f.write(json.dumps(log_entry, ensure_asciiFalse) \n)7.5 使用 EXPLAIN 预检在真正执行查询前可以先执行EXPLAIN检查查询计划对全表扫描或笛卡尔积关联的 SQL 直接拒绝。SQLite 示例EXPLAIN QUERY PLAN SELECT * FROM employees WHERE department_id 1;如果查询计划中包含SCAN且表数据量较大就提示模型重新生成更合理的 SQL。7.6 限制可查询的库表不要把所有表都暴露给 AI。为 AI 查询单独维护一份“允许访问的表清单”ALLOWED_TABLES {employees, departments, orders} def check_allowed_tables(sql: str) - bool: for table in extract_table_names(sql): if table not in ALLOWED_TABLES: return False return True这样即使模型误用了某张业务敏感表也会被拦截。8. 结束语把数据库查询交给 AI并不是把数据库直接交给 AI。真正可靠的做法是让 AI 做它擅长的事——理解自然语言、生成 SQL而把权限控制、语句校验、数据脱敏、超时限制这些工程能力留在程序侧。只要这条边界清晰AI 查询就是安全且高效的。文中这套方案可以让你在半小时内跑通一个完整的“自然语言查询数据库”Demo也能作为你进一步构建企业级 Data Agent 的起点。如果你正在规划数据库查询相关的 AI 功能建议先从最小权限账号加上 SQL 白名单校验开始一步一步叠加能力而不是一上来就追求“AI 自主操作一切”。把这些基础打牢后再去看 AI Agent、MCP 这些更上层的概念思路会清晰很多。
)
