पायथन

Question

में एसक्यूएल इंजेक्शन के खिलाफ सुरक्षा मेरे पास पाइथन में कुछ कोड है जो एक एसक्लाइट डीबी में एक char (80) मान सेट करता है।

स्ट्रिंग सीधे उपयोगकर्ता से टेक्स्ट इनपुट फ़ील्ड के माध्यम से प्राप्त की जाती है और JSON संरचना में POST विधि के साथ सर्वर पर वापस भेज दी जाती है।

सर्वर की तरफ मैं वर्तमान में एसक्यूएल अद्यतन ऑपरेशन को कॉल करने वाली विधि को स्ट्रिंग पास करता हूं।

यह काम करता है, लेकिन मुझे पता है कि यह बिल्कुल सुरक्षित नहीं है।

मुझे उम्मीद है कि क्लाइंट पक्ष असुरक्षित है, इसलिए किसी भी सुरक्षा को सर्वर की तरफ रखा जाना है। अद्यतन ऑपरेशन को फिर से एसक्यूएल इंजेक्शन को सुरक्षित करने के लिए मैं क्या कर सकता हूं?

एक ऐसा फ़ंक्शन जो पाठ को "उद्धृत" करेगा ताकि वह SQL पार्सर को भ्रमित नहीं कर सके जो मैं ढूंढ रहा हूं। मुझे उम्मीद है कि इस तरह का कार्य मौजूद है लेकिन इसे नहीं मिला।

संपादित करें: यहाँ मेरे वर्तमान कोड चार फ़ील्ड नाम लेबल स्थापित कर रही है:

def setLabel(self, userId, refId, label): 
    self._db.cursor().execute(""" 
     UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", (label, userId, refId)) 
    self._db.commit() 

Answer 1

प्रलेखन से:

con.execute("insert into person(firstname) values (?)", ("Joe",)) 

यह "Joe" निकल जाता है, तो आप क्या चाहते हैं

con.execute("insert into person(firstname) values (?)", (firstname_from_client,)) 

Answer 2

Noooo ... उपयोग BIND चर! यही वह है जिसके लिए वे हैं। this

देखें तकनीक के लिए एक और नाम parameterized sql है (मुझे लगता है कि "बाँध चर" Oracle के साथ विशेष रूप से प्रयोग किया जाता है नाम हो सकता है)।

Answer 3

डीबी-एपीआई .execute() पैरामीटर प्रतिस्थापन का समर्थन करता है जो आपके लिए भागने का ख्याल रखेगा, जो दस्तावेज़ों के शीर्ष के निकट है; http://docs.python.org/library/sqlite3.htmlसे ऊपर कभी नहीं करें - असुरक्षित।