python注入攻击_在python中使用sqlite的时候应注意防止注入攻击

在python的文档中有大概这样一段描述：

在使用sql语句操纵数据库的时候，不应该直接将字符串连接起来作为sql语句进行查询，因为直接将外部传入的字符串代入到sql语句中就会产生sql注入的问题。

比如下面是一个错误的用法

symbol = 'IBM'

c.execute("... where symbol = '%s'" % symbol)

#错误的用法，会带来sql注入

在实际使用的时候，应该使用数据库API提供的参数替代方法传递外部的参数。也就是常说的“一个萝卜一个坑”。把需要执行的sql参数作为数据库API的某个函数的参数传递进去，这样在API内部就做了对敏感字符的转义工作。

下面是正确的用法：

t = (symbol,)

c.execute('select * from stocks where symbol=?', t)

# Larger example

for t in [('2006-03-28', 'BUY', 'IBM', 1000, 45.00), ('2006-04-05', 'BUY', 'MSOFT', 1000, 72.00), ('2006-04-06', 'SELL', 'IBM', 500, 53.00), ]:

c.execute('insert into stocks values (?,?,?,?,?)', t)

在python中，这种语法的用法是：在sql语句的任意位置使用问号替代参数，然后把外部传递进来的参数放在一个数组中，然后把数组作为cursor.execute()方法的参数传递进去查询。

​