कैसे सुरक्षित रूप से अजगर db-api

Question

मैं अजगर के db-api का उपयोग करके निम्न SQL विवरण इकट्ठा करने के लिए कोशिश कर रहा हूँ का उपयोग कर एक एसक्यूएल की तरह बयान उत्पन्न करने के लिए:

SELECT x FROM myTable WHERE x LIKE 'BEGINNING_OF_STRING%'; 

एक अजगर वर सुरक्षित रूप में भरे जाने वाले जहां BEGINNING_OF_STRING किया जाना चाहिए डीबी-एपीआई के माध्यम से। मैंने

beginningOfString = 'abc' 

cursor.execute('SELECT x FROM myTable WHERE x LIKE '%s%', beginningOfString) 
cursor.execute('SELECT x FROM myTable WHERE x LIKE '%s%%', beginningOfString) 

मैं विचारों से बाहर हूं; ऐसा करने का सही तरीका क्या है?

Answer 1

यह एसक्यूएल से पैरामीटर अलग करने के लिए करता है, तो आप कर सकते हैं सबसे अच्छा है। फिर आप डीबी मॉड्यूल को पैरामीटर के उचित उद्धरण की देखभाल करने दे सकते हैं। Sqlite3 दस्तावेज की

sql='SELECT x FROM myTable WHERE x LIKE %s' 
args=[beginningOfString+'%'] 
cursor.execute(sql,args) 

Answer 2

संपादित करें:

ब्रायन और थॉमस बताया गया है, दूर बेहतर यह करने के लिए उपयोग करने के लिए किया जाएगा जिस तरह से:

beginningOfString += '%' 
cursor.execute("SELECT x FROM myTable WHERE x LIKE ?", (beginningOfString,)) 

पहली विधि के बाद से छोड़ देता है आप एसक्यूएल इंजेक्शन हमलों के लिए खुला ।

---

इतिहास के लिए में वाम:

प्रयास करें:

cursor.execute("SELECT x FROM myTable WHERE x LIKE '%s%%'" % beginningOfString) 

Answer 3

ध्यान दें:

आमतौर पर अपने एसक्यूएल संचालन की आवश्यकता होगी अजगर चर से मानों का उपयोग कर। आपको पाइथन के स्ट्रिंग ऑपरेशंस का उपयोग करके अपनी क्वेरी एकत्र नहीं करना चाहिए क्योंकि ऐसा करना असुरक्षित है; यह आपके प्रोग्राम को SQL इंजेक्शन हमले के लिए कमजोर बनाता है।

इसके बजाय, डीबी-एपीआई पैरामीटर प्रतिस्थापन का उपयोग करें। डाल ? एक प्लेसहोल्डर जहां भी आप किसी मान का उपयोग करना चाहते हैं, और तो कर्सर की निष्पादित() विधि के लिए दूसरी तर्क के रूप में मानों का एक tuple प्रदान करें। उदाहरण के लिए: (1 अन्य डेटाबेस मॉड्यूल ऐसे% s या के रूप में, एक अलग प्लेसहोल्डर का उपयोग कर सकते हैं।):

# Never do this -- insecure! 
symbol = 'IBM' 
c.execute("... where symbol = '%s'" % symbol) 

# Do this instead 
t = (symbol,) 
c.execute('select * from stocks where symbol=?', t) 

# Larger example 
for t in [('2006-03-28', 'BUY', 'IBM', 1000, 45.00), 
      ('2006-04-05', 'BUY', 'MSOFT', 1000, 72.00), 
      ('2006-04-06', 'SELL', 'IBM', 500, 53.00), 
     ]: 
    c.execute('insert into stocks values (?,?,?,?,?)', t) 

मुझे लगता है कि आप इस हैं:

cursor.execute('SELECT x FROM myTable WHERE x LIKE '%?%', (beginningOfString,))