脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 脚本专栏 → python → Pyhton防SQL注入

Pyhton中防止SQL注入的方法

 更新时间：2015年02月05日 11:35:26   投稿：junjie  
这篇文章主要介绍了Pyhton中防止SQL注入的方法,本文讲解的方法简单实用,需要的朋友可以参考下

复制代码 代码如下:

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

注意，上面的SQL字符串与后面的tuple之间的分隔符是逗号，平时拼写SQL用的是%。

如果按照以下写法，是容易产生SQL注入的：

复制代码 代码如下:

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

这个和PHP里的PDO是类似的，原理同MySQL Prepared Statements。

Python

Using the Python DB API, don't do this:

# Do NOT do it this way.

复制代码 代码如下:

cmd = "update people set name='%s' where id='%s'" % (name, id) curs.execute(cmd)

Instead, do this:
复制代码 代码如下:

cmd = "update people set name=%s where id=%s" curs.execute(cmd, (name, id))

Note that the placeholder syntax depends on the database you are using.
复制代码 代码如下:
'qmark' Question mark style, e.g. '...WHERE name=?' 'numeric' Numeric, positional style, e.g. '...WHERE name=:1' 'named' Named style, e.g. '...WHERE name=:name' 'format' ANSI C printf format codes, e.g. '...WHERE name=%s' 'pyformat' Python extended format codes, e.g. '...WHERE name=%(name)s'

The values for the most common databases are:

复制代码 代码如下:

>>> import MySQLdb; print MySQLdb.paramstyle format >>> import psycopg2; print psycopg2.paramstyle pyformat >>> import sqlite3; print sqlite3.paramstyle qmark

So if you are using MySQL or PostgreSQL, use %s (even for numbers and other non-string values!) and if you are using SQLite use ?

您可能感兴趣的文章:

相关文章

  • Pytorch转tflite方式

    Pytorch转tflite方式

    这篇文章主要介绍了Pytorch转tflite方式，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
    2020-05-05
  • Python BS4库的安装与使用详解

    Python BS4库的安装与使用详解

    这篇文章主要介绍了Python BS4库的安装与使用详解，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2018-08-08
  • Python3 sort和sorted用法+cmp_to_key()函数详解

    Python3 sort和sorted用法+cmp_to_key()函数详解

    这篇文章主要介绍了Python3 sort和sorted用法+cmp_to_key()函数详解，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教
    2023-07-07
  • 基于Python制作简易视频播放器

    基于Python制作简易视频播放器

    本文将用python-pyqt5-opencv做出来的简易视频播放器,主要实现本地视频文件播放、本地摄像头播放和远程摄像头播放三个功能,需要的可以参考下
    2024-11-11
  • Python类和对象基础入门介绍

    Python类和对象基础入门介绍

    Python 是一种面向对象的编程语言。Python 中的几乎所有东西都是对象，拥有属性和方法。类（Class）类似对象构造函数，或者是用于创建对象的蓝图
    2022-08-08
  • 在django中实现choices字段获取对应字段值

    在django中实现choices字段获取对应字段值

    这篇文章主要介绍了在django中实现choices字段获取对应字段值，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
    2020-07-07
  • python PIL模块与随机生成中文验证码

    python PIL模块与随机生成中文验证码

    今天我们要学习的内容是如何利用Python生成一个随机的中文验证码，并将图片保存为.jpeg格式,需要的朋友可以参考下
    2016-02-02
  • Python SQLAlchemy库的实现示例

    Python SQLAlchemy库的实现示例

    SQLAlchemy库是一个强大的工具,为开发人员提供了便捷的方式来处理与数据库的交互,本文主要介绍了Python SQLAlchemy库的实现示例,具有一定的参考价值,感兴趣的可以了解一下
    2024-06-06
  • Python学习之面向对象编程详解

    Python学习之面向对象编程详解

    利用（面向）对象的（属性和方法）去进行编码的过程即面向对象编程。本文将通过示例详细为大家介绍一下Python中的面向对象编程，需要的可以参考一下
    2022-03-03
  • 告别网页搜索!教你用python实现一款属于自己的翻译词典软件

    告别网页搜索!教你用python实现一款属于自己的翻译词典软件

    教你用python做一款属于自己的翻译词典软件,从此告别网页搜索,文中有非常详细的代码示例,小伙伴们快快行动吧,需要的朋友可以参考下
    2021-06-06

最新评论