Django中的sql注入

# select提供简单数据 # SELECT age, (age > 18) as is_adult FROM myapp_person; Person.objects.all().extra(select={‘is_adult‘: "age > 18"}) # 加在select后面 ## where提供查询条件 # SELECT * FROM myapp_person WHERE first||last ILIKE ‘jeffrey%‘; Person.objects.all().extra(where=["first||last ILIKE ‘jeffrey%‘"]) # 加一个where条件 ## table连接其它表 # SELECT * FROM myapp_book, myapp_person WHERE last = author_last Book.objects.all().extra(table=[‘myapp_person‘], where=[‘last = author_last‘]) # 加from后面 ## params添参数 # !! 错误的方式 !! first_name = ‘Joe‘ # 如果first_name中有SQL特定字符就会出现漏洞 Person.objects.all().extra(where=["first = ‘%s‘" % first_name]) # 正确方式 Person.objects.all().extra(where=["first = ‘%s‘"], params=[first_name])

 

python中sql中注入

from pymysql import *

def main():

    find_name = input("请输入物品名称：")

    # 创建Connection连接
    conn = connect(host=‘localhost‘,port=3306,user=‘root‘,password=‘mysql‘,database=‘jing_dong‘,charset=‘utf8‘)
    # 获得Cursor对象
    cs1 = conn.cursor()


    # # 非安全的方式
    # # 输入 " or 1=1 or "   (双引号也要输入)
    # sql = ‘select * from goods where name="%s"‘ % find_name
    # print("""sql===>%s<====""" % sql)
    # # 执行select语句，并返回受影响的行数：查询所有数据
    # count = cs1.execute(sql)

    # 安全的方式
    # 构造参数列表
    params = [find_name]
    # 执行select语句，并返回受影响的行数：查询所有数据
    count = cs1.execute(‘select * from goods where name=%s‘, params)
    # 注意：
    # 如果要是有多个参数，需要进行参数化
    # 那么params = [数值1, 数值2....]，此时sql语句中有多个%s即可 

    # 打印受影响的行数
    print(count)
    # 获取查询的结果
    # result = cs1.fetchone()
    result = cs1.fetchall()
    # 打印查询的结果
    print(result)
    # 关闭Cursor对象
    cs1.close()
    # 关闭Connection对象
    conn.close()

if __name__ == ‘__main__‘:
    main()

 

请注意在cursor.execute() 的SQL语句中使用“%s”，而不要在SQL内直接添加参数。 如果你使用这项技术，数据库基础库将会自动添加引号，同时在必要的情况下转意你的参数。

Django中的sql注入

标签：根据   服务   fetchall   base   host   import   nec   comm   tab