sql注入原理及其在Python中的解决方法

你要登录一个网站，需要输入用户名字和密码。
开发过程中构造sql语句：
str1 = “select * from user where username=’%s’ and pwd=’%s’”%(‘admin’,‘123’)
服务器端验证时，拼接的结果：
str1 = “select * from user where username=‘admin’ and pwd=‘123’”
假如你输入的用户名是 admin，但是你不知道密码，你就输入了：
1’ or ‘1’ = ‘1
那么，你就提交了两个参数给服务器。假如，服务器拿这两个参数拼SQL语句：
str2 = "select * from user where username=’%s’ and pwd=’%s’"%(‘admin’,“1’ or ‘1’='1”)
拼接的结果：
str2 = “select * from user where username=‘admin’ and pwd=‘1’ or ‘1’=‘1’”
那么，这个SQL原来的校验功能就被你绕过去了，你的这种行为就称之为SQL注入。

举例：假设我们通过文本框传入ID删除表记录。
正常输入情况下，删除的SQL语句为：delete from goods where sid=1

假设文本框中输入 1 or 1=1
得到如下SQL语句：
delete from goods where sid=1 or 1=1
这条SQL语句的查询条件永远为真，执行的结果会将goods中的记录全部删除。 这就是SQL注入！

解决办法其实很简单，用占位符即可
import pymysql
conn=pymysql.connect(host=‘localhost’,port=3306,db=‘test1’,user=‘root’,passwd=‘mysql’,charset=‘utf8’)
cur=conn.cursor()
##执行查询语句
cur.execute(‘select * from user where username = %s’ and pwd=’%s’,(name,pwd))
##删除语句也不能拼接字符串
cur.execute(‘delete from goods where sid = %s’,(14,))