python在使用pymysql写sql如何规避sql注入

最新推荐文章于 2024-10-24 00:01:49 发布

春天的菠菜

最新推荐文章于 2024-10-24 00:01:49 发布

阅读量744

点赞数

CC 4.0 BY-SA版权

分类专栏： python

本文链接：https://blog.youkuaiyun.com/legend818/article/details/117411169

python 专栏收录该内容

188 篇文章

订阅专栏

本文详细讲解了如何通过参数化查询来防止SQL注入攻击，使用Python pymysql库为例，展示了如何安全地执行SQL查询。重点在于理解变量不直接拼接至SQL语句的重要性，并给出了实际操作步骤和改造后的代码示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这样写的方式主要是规避sql注入风险

# 不能把变量名直接放到sql执行语句中,防止sql攻击
sql = "select * from user where name = %s and pwd = %s"
 
count = c.execute(sql,(name,pwd))

示例：

import pymysql
conn = pymysql.connect(host="127.0.0.1",port=3306,user='root',password='123', database='pooldb',charset='utf8')
cursor = conn.cursor()
#  重点
   
cursor.execute("select * from td where id=%s", [5, ])
result = cursor.fetchall()  # 获取数据
cursor.close()
conn.close()  # 关闭链接




# 传参部分我改造了一下

sql=  "select * from td where id=%s"   
sql_var = [5, ] 
cursor.execute(sql, sql_var)