sqlparse.py

import sqlparse
import sys
import re


parsed = sqlparse.parse(sys.argv[1])

print(parsed[0])
for t in parsed[0].tokens:
  print(type(t), t.ttype, t)
  if t.ttype is None:
    sub_query = str(t)
    m = re.match(r"^\((.*)\) [^\s()]+$", sub_query)
    if m:
      sub_query = m.group(1)

    sub_parsed = sqlparse.parse(sub_query)
    print(sub_parsed[0])
    for sub_t in sub_parsed[0].tokens:
      print(type(sub_t), sub_t.ttype, sub_t)

フィールドとテーブル名の区別はつかない。
ホワイトリストではなくブラックリストを作り、ブラックリストに Identifier が含まれていなければセーフ、とするか。