手写/拼接 SQL 风险范围清单

梳理日期：2026-09-17
更新：同日已完成 P0 / P1 / 单点 LIMIT 修复；全局 orderBy 列白名单暂不改。

已修复（本次）

原优先级	项	处理
P0	`RsSystemMapper` `${sql}` + `SqlUpdateController` + `SqlScriptRunner` + `DbInitializer`	已删除
P0	招生 `ZsjyEnrollmentInfoMapper` `${*Condition}`	已去掉 `${}` 条件参数；VO 删除 `extraCondition`
P1	宿舍 `managerType` 字符串拼接	已改为 JDBC `?`
P2	学生搜索 `LIMIT + limit`	已改为 `Page` 安全分页
P2	bucket 访问记录 LIMIT	已改为 `Page` 安全分页
P2	违纪 `limit ${(pageNum-1)*pageSize}`	已改为 `#{offset}`/`#{pageSize}`，Service 计算 offset
P2	心理咨询详情 Long 拼接	已改为 `?` 占位

另：tenantId 注入、debug 任意 SQL 接口此前已修。

级	项	说明
P2	全局 `PageQuery.orderByColumn`	现有正则已基本挡住经典注入；列名白名单属加固，影响面大
P3	会话 userId/deptId 的 `exists`/`inSql`	面窄，可后续顺手改
P3	其它已用 `?` 的手写 JdbcTemplate	维护面问题，非紧急注入