一尘不染

Python最佳实践和最安全的方法来连接MySQL和执行查询

mysql

在mysql上运行查询的最安全方法是什么,我知道MySQL和SQL注入涉及的危险。

但是,我不知道如何运行查询以防止注入其他用户(Web客户端)可以操纵的变量。我曾经编写自己的转义函数,但显然这是“未完成”的。

我应该使用什么,以及如何使用它来通过python在MySQL数据库上安全地进行查询和插入,而又不会冒mysql注入的风险?


阅读 222

收藏
2020-05-17

共1个答案

一尘不染

为避免注入,请使用executewith
%s代替每个变量,然后通过列表或元组传递值作为的第二个参数execute。这是文档中示例

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

请注意,这是使用 逗号 而不是 (这将是直接字符串替换,不会转义)。 不要这样做

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

此外,'%s'如果参数是字符串,则不需要在位置保持器()周围加上引号。

2020-05-17