[Question] SQL查询可以绕过设置的查询最大Limit限制

[xiaofan8368]

描述问题
SQL查询语句后面加注释符号“--”可以绕过设置的查询最大Limit限制，让设置的查询最大Limit限制失效

复现
重现该行为的步骤:
1.设置查询最大Limit限制为100
2. 执行SQL语句：select * from t_batch_modify_member_detail_52 --
期望的结果
期望查询的结果最大应该是设置的100条，但是实际查询出来的结果是不加限制的13491条

截图

部署方式

• [1 ] Manual

环境 (请填写环境信息):

• 操作系统: linux
• 浏览器 chrome
• 版本号 Yearning-v3.1.9.1

额外的日志信息
经过测试其他版本都有同样的问题，建议程序修复方式：对SQL查询语句后面加回车换行后再加 limit限制可以解决

[Issues-translate-bot]

Bot detected the issue body's language is not English, translate it automatically. 👯👭🏻🧑‍🤝‍🧑👫🧑🏿‍🤝‍🧑🏻👩🏾‍🤝‍👨🏿👬🏿

---

Title: [Question] SQL query can bypass the set query maximum Limit limit

[dosubot]

Hi @xiaofan8368! I'm Dosu and I’m helping the Yearning team.

你反馈的 SQL 查询加注释符号 “--” 可以绕过 Yearning 设置的最大 LIMIT 限制，经过代码和历史问题排查，确实没有相关修复或官方文档说明，目前 Yearning 的 SQL 解析和 LIMIT 强制逻辑没有对注释做处理，导致 LIMIT 被追加到注释后面时被数据库忽略，查询结果不受限制来源。

你的建议（在 SQL 后加回车换行再加 LIMIT）确实可以临时解决，但从代码角度看，根本原因是 Yearning 没有在追加 LIMIT 前去除注释或智能插入 LIMIT 到注释前。要彻底修复，需要在 SQL 解析和重写时先去除注释或将 LIMIT 插入到注释前的位置。

目前所有版本都存在这个问题，建议在实际使用时注意 SQL 语句格式，或者等待后续版本修复此漏洞。

To reply, just mention @dosu.

---

^{How did I do? Good | Irrelevant | Incorrect | Verbose | Hallucination | Report 🐛 | Other}