在 SAP HANA 项目的代码审查中，我们经常需要判断一段 SQLScript 存储过程是否存在 SQL 注入风险、变量赋值是否冗余，以及复杂的业务逻辑是否可能引入难以察觉的安全缺陷。这些问题并不总能依靠人工阅读代码解决。尤其是在企业级系统中，一个存储过程可能调用其他存储过程，通过动态 SQL 访问业务数据，使用异常处理器执行备用逻辑，还可能借助自定义库、数组、行类型变量和表变量传递中间结果。随着调用关系越来越复杂，人工审查很容易遗漏数据在不同语句之间的传递过程。SAP HANA SQLScript Code Analyzer 提供了静态代码分析能力，可以在不实际执行存储过程的情况下，对 SQLScript 程序进行检查，并报告符合特定规则的问题。不过，静态代码分析并不等于完整的程序行为证明。某段程序即使采取了正确的安全措施，也可能收到 SQL 注入风险告警。另一段程序即使存在真实的风险，也可能因为使用了分析器暂不支持的语言结构而没有产生告警。这两种情况分别对应误报和漏报。误报会增加开发人员的审查成本，漏报则可能让存在安全问题的程序进入生产环境。对于 SAP S/4HANA、SAP HANA 原生应用，以及基于 SAP HANA Cloud 构建的企业数据服务，理解这些差异，比单纯追求代码检查结果全部通过更加重要。本文将围绕 SQLScript Code Analyzer 的实际分析边界展开，重点讨论 Continue Handler、自定义库成员变量、纯 SQL 查询、嵌套存储过程和结构化变量，并结合采购、订单与财务数据处理场景，说明如何区分分析工具的能力限制与真正的程序缺陷。
