当前位置:Gxlcms > 数据库问题 > Python中如何防止sql注入

Python中如何防止sql注入

时间:2021-07-01 10:21:17 帮助过:20人阅读

  sql注入中最常见的就是字符串拼接,研发人员对字符串拼接应该引起重视,不应忽略。

  错误用法1:

    sql = "select id, name from test where id=%d and name=‘%s‘" %(id, name)

    cursor.execute(sql)

  错误用法2:

    sql = "select id, name from test where id="+ str(id) +" and name=‘"+ name +"‘"

    cursor.execute(sql)

  正确用法1:

    args = (id, name)

    sql = "select id, name from test where id=%s and name=%s"

    cursor.execute(sql, args)

    execute()函数本身有接受sql语句参数位的,可以通过python自身的函数处理sql注入问题。

  正确用法2:

    name = MySQLdb.escape_string(name)

    sql = "select id, name from test where id=%d and name=‘%s‘" %(id, name)

    cursor.execute(sql)

    python模块MySQLdb自带针对mysql的字符转义函数escape_string,可以对字符串转义。

 

  更多内容,请扫码关注微信公众号“程序媛蒲苇”

    技术分享

 

Python中如何防止sql注入

标签:语句   nbsp   分享   防止   数位   扫码   test   .exe   字符串   

人气教程排行