本篇 10 题｜覆盖初级到高级｜NL2SQL 数据分析项目。先用自己的话回答，再核对参考要点，最后练习工程追问。
本篇目录
- PRJ-021 NL2SQL 项目如何限定范围？
- PRJ-022 怎样向模型提供数据库 Schema？
- PRJ-023 如何防止 SQL 越权？
- PRJ-024 生成 SQL 后应做哪些检查？
- PRJ-025 如何处理用户问题中的指标歧义？
- PRJ-026 如何验证 SQL 语义正确？
- PRJ-027 NL2SQL 怎样处理查询失败重试？
- PRJ-028 查询结果如何转成自然语言？
- PRJ-029 NL2SQL 的评测集应如何设计？
- PRJ-030 NL2SQL 项目怎样讲安全取舍？
使用说明：本模块为方案设计与答题示例，不代表作者或读者已经实施这些项目。面试时请替换为自己的真实经历、测量数据和可验证证据。
PRJ-021 NL2SQL 项目如何限定范围？
难度：中级
参考答案：先选择有限主题、表和指标定义，明确只读权限与查询预算。让模型生成候选查询，执行前校验，结果需解释口径和时间范围。
工程追问：为什么“能查所有表”不是好目标？
PRJ-022 怎样向模型提供数据库 Schema？
难度：中级
参考答案：提供相关表、字段含义、主外键和指标定义，按问题筛选必要上下文。避免暴露无关敏感表与真实私密样本，结构信息也需权限控制。
工程追问：字段名含糊时如何补充语义？
PRJ-023 如何防止 SQL 越权？
难度：中级
参考答案：使用最小权限只读账户、行列级授权和受控查询校验，限制可访问对象。不能只检查 SQL 是否以 SELECT 开头，函数与视图也可能造成风险。
工程追问：数据库函数可能带来哪些副作用？
PRJ-024 生成 SQL 后应做哪些检查？
难度：中级
参考答案：解析语法树并验证表、字段、操作类型与限制，必要时查看执行计划和估算成本。设置超时与结果上限，参数值采用安全绑定。
工程追问：LIMIT 是否能限制所有昂贵查询？
PRJ-025 如何处理用户问题中的指标歧义？
难度：中级
参考答案：将指标映射到统一定义，遇到收入、活跃等多种口径时请求澄清或明确假设。SQL 正确执行不代表回答了用户真正的问题。
工程追问：“本月销售额”包含退款吗？
PRJ-026 如何验证 SQL 语义正确？
难度：中级
参考答案：在受控数据集上比较期望结果，检查连接、聚合、时间边界和空值处理。执行成功率只能说明语法与运行可行，不能代表业务正确率。
工程追问：重复连接导致金额翻倍怎样发现？
PRJ-027 NL2SQL 怎样处理查询失败重试？
难度：中级
参考答案：把脱敏错误作为修正线索，限定次数并保持原始权限和预算。对缺少业务定义的问题应澄清，不能靠不断试 SQL 猜出用户意图。
工程追问：错误消息包含内部表名怎么办？
PRJ-028 查询结果如何转成自然语言？
难度：中级
参考答案：保留指标、单位、时间与筛选条件，数字由确定性结果生成，模型负责解释。无数据与数值为零要区分，不能从空表推断业务不存在。
工程追问：图表标题如何防止夸大结论？
PRJ-029 NL2SQL 的评测集应如何设计？
难度：中级
参考答案：覆盖单表、连接、聚合、时间窗口、歧义、无权限和高成本问题。可用执行结果相等辅助评估，但需考虑偶然相等与多种正确查询。
工程追问：测试数据太简单会掩盖什么错误？
PRJ-030 NL2SQL 项目怎样讲安全取舍？
难度：中级
参考答案：说明模型只生成候选，数据库权限和执行器实施硬约束，并展示拒绝越权与超时案例。没有真实攻击测试时说明测试计划与未验证范围。
工程追问：如果校验器漏掉危险查询还有哪层防线？
复盘练习
任选一题，用“场景与约束 → 方案 → 验证方法 → 失败边界”组织一段回答。初级先讲清概念，中级补实现与测试，高级补成本、权限和故障取舍。难度标签是学习建议，同一题可继续深入。
延伸阅读
以下为本模块相关原始论文与官方文档，用于继续学习；本文为原创面试要点整理，具体框架行为以所用版本为准。