sql注入原理及其在Python中的解决方法

你要登录一个网站,需要输入用户名字和密码。
开发过程中构造sql语句:
str1 = “select * from user where username=’%s’ and pwd=’%s’”%(‘admin’,‘123’)
服务器端验证时,拼接的结果:
str1 = “select * from user where username=‘admin’ and pwd=‘123’”
假如你输入的用户名是 admin,但是你不知道密码,你就输入了:
1’ or ‘1’ = ‘1
那么,你就提交了两个参数给服务器。假如,服务器拿这两个参数拼SQL语句:
str2 = "select * from user where username=’%s’ and pwd=’%s’"%(‘admin’,“1’ or ‘1’='1”)
拼接的结果:
str2 = “select * from user where username=‘admin’ and pwd=‘1’ or ‘1’=‘1’”
那么,这个SQL原来的校验功能就被你绕过去了,你的这种行为就称之为SQL注入。

举例:假设我们通过文本框传入ID删除表记录。
正常输入情况下,删除的SQL语句为:delete from goods where sid=1

假设文本框中输入 1 or 1=1
得到如下SQL语句:
delete from goods where sid=1 or 1=1
这条SQL语句的查询条件永远为真,执行的结果会将goods中的记录全部删除。 这就是SQL注入!

解决办法其实很简单,用占位符即可
import pymysql
conn=pymysql.connect(host=‘localhost’,port=3306,db=‘test1’,user=‘root’,passwd=‘mysql’,charset=‘utf8’)
cur=conn.cursor()
##执行查询语句
cur.execute(‘select * from user where username = %s’ and pwd=’%s’,(name,pwd))
##删除语句也不能拼接字符串
cur.execute(‘delete from goods where sid = %s’,(14,))

©️2020 CSDN 皮肤主题: 游动-白 设计师:上身试试 返回首页