python+Django實(shí)現(xiàn)防止SQL注入的辦法
先看看那種容易被注入的SQL
id = 11001
sql = """
SELECT
id,
name,
age
FROM
student
WHERE
id = """+id+"""
"""
cursor = connection.cursor()
try:
cursor.execute(sql)
result = cursor.fetchall()
for result1 in result:
// 代碼塊
pass
finally:
cursor.close()
一般來說寫SQL語句在程序中，若有where條件一般都可能會(huì)去直接拼接，到那時(shí)這種方式容易被SQL注入，首先說明下什么是SQL的注入，簡(jiǎn)單來說就是你寫的SQL被別人在頁面上拼接了SQL。比如拼接1=1這種條件，如果登錄接口被注入1=1那么就可以隨意進(jìn)入你的程序了。所以才要防止SQL的注入。
下面再來看看防止SQL的注入
id = 11001
params = []
sql = """
SELECT
id,
name,
age
FROM
student
WHERE
id = %s
"""
params.append(id)
cursor = connection.cursor()
try:
cursor.execute(sql, params)
result = cursor.fetchall()
for result1 in result:
// 代碼塊
pass
finally:
cursor.close()
我們把直接拼接的條件變量放入集合再把集合帶入執(zhí)行SQL的方法，就可以避免被注入的風(fēng)險(xiǎn)，在SQL的條件中使用%s進(jìn)行站位，要注意的是這個(gè)%s是有順序的，比如說上面這個(gè)SQL后面在跟一個(gè)條件name=%s那么下面的params集合也要多加一個(gè)元素params.append(name)這個(gè)時(shí)候name是在id后面的在集合中。這樣可以一一對(duì)應(yīng)，但如果要是把params.append(name)寫在了params.append(id)前面SQL執(zhí)行就會(huì)出現(xiàn)id=name and name = id 的條件就亂了，甚至還會(huì)報(bào)錯(cuò)。
使用connection完畢之后一定要記得close，connection是django.db中的，導(dǎo)入不要導(dǎo)入錯(cuò)了。
以上就是本文的全部?jī)?nèi)容，希望對(duì)大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。
相關(guān)文章
python 中的list和array的不同之處及轉(zhuǎn)換問題
python中的list是python的內(nèi)置數(shù)據(jù)類型，list中的數(shù)據(jù)類不必相同的，而array的中的類型必須全部相同。這篇文章給大家介紹了python 中的list和array的不同之處及轉(zhuǎn)換問題，需要的朋友參考下吧2018-03-03
python機(jī)器學(xué)習(xí)pytorch自定義數(shù)據(jù)加載器
這篇文章主要為大家介紹了python機(jī)器學(xué)習(xí)pytorch自定義數(shù)據(jù)加載器使用示例學(xué)習(xí)，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪2022-10-10
這篇文章主要介紹了利用Python制作一個(gè)簡(jiǎn)單的知識(shí)競(jìng)賽小游戲，可以實(shí)現(xiàn)回答問題功能，文中的示例代碼介紹詳細(xì)，感興趣的同學(xué)快跟隨小編一起學(xué)習(xí)吧2021-12-12
如何用python實(shí)現(xiàn)一個(gè)HTTP連接池
這篇文章主要介紹了如何用python實(shí)現(xiàn)一個(gè)HTTP連接池的步驟，幫助大家更好的理解和使用python，感興趣的朋友可以了解下2021-01-01
Python使用pysmb庫訪問Windows共享文件夾的詳細(xì)教程
本教程旨在幫助您使用pysmb庫,通過SMB（Server Message Block）協(xié)議,輕松連接到Windows共享文件夾,并列舉其中的文件與文件夾,此外,我們還將簡(jiǎn)要介紹如何下載和上傳文件,以及如何處理可能遇到的連接錯(cuò)誤,需要的朋友可以參考下2024-12-12
python讀文件保存到字典,修改字典并寫入新文件的實(shí)例
下面小編就為大家分享一篇python讀文件保存到字典,修改字典并寫入新文件的實(shí)例，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2018-04-04
python元組和字典的內(nèi)建函數(shù)實(shí)例詳解
這篇文章主要介紹了python元組和字典的內(nèi)建函數(shù),結(jié)合實(shí)例形式詳細(xì)分析了Python元組和字典的各種常見內(nèi)建函數(shù)功能與相關(guān)使用技巧,需要的朋友可以參考下2019-10-10
Python supervisor強(qiáng)大的進(jìn)程管理工具的使用
這篇文章主要介紹了Python supervisor強(qiáng)大的進(jìn)程管理工具的使用，本文主要跟大家分享在類unix操作系統(tǒng)下supervisor的使用以及一些關(guān)于進(jìn)程的知識(shí)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2019-04-04
ChatGLM-6B+LangChain環(huán)境部署與使用實(shí)戰(zhàn)
這篇文章主要介紹了ChatGLM-6B+LangChain環(huán)境部署與使用方法,結(jié)合實(shí)例形式詳細(xì)分析了ChatGLM-6B+LangChain環(huán)境部署相關(guān)步驟、實(shí)現(xiàn)方法與相關(guān)注意事項(xiàng),需要的朋友可以參考下2023-07-07
這篇文章主要介紹了Python裝飾器基礎(chǔ)概念與用法,結(jié)合實(shí)例形式詳細(xì)分析了Python裝飾器的概念、功能、用法及相關(guān)操作注意事項(xiàng),需要的朋友可以參考下2018-12-12