【Django】Django 直接执行原始SQL 如何防止SQL注入？

最新推荐文章于 2024-04-30 06:30:00 发布

转载最新推荐文章于 2024-04-30 06:30:00 发布 · 285 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/junneyang/p/5973950.html

文章标签：

#python

本文介绍了在Django中如何安全地使用Raw SQL查询。通过对比错误示范与正确做法，强调了避免SQL注入的重要性，并推荐使用Django提供的安全转义功能。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

代码示例：

#错误--不要直接格式化字符串
query = 'SELECT * FROM myapp_person WHERE last_name = %s' % lname
Person.objects.raw(query)

#正确--使用Django raw函数 功能进行安全转义
name = 'Doe'
Person.objects.raw('SELECT * FROM myapp_person WHERE last_name = %s', [name])

参考资料：

http://www.gowhich.com/blog/309

http://www.cnblogs.com/BeginMan/archive/2013/05/27/3101322.html

http://blog.sina.com.cn/s/blog_3fe961ae010167jl.html

转载于:https://www.cnblogs.com/junneyang/p/5973950.html