最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

Pyhton中防止SQL注入的方法

 更新時(shí)間：2015年02月05日 11:35:26   投稿：junjie  
這篇文章主要介紹了Pyhton中防止SQL注入的方法,本文講解的方法簡(jiǎn)單實(shí)用,需要的朋友可以參考下

復(fù)制代碼 代碼如下:

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

注意，上面的SQL字符串與后面的tuple之間的分隔符是逗號(hào)，平時(shí)拼寫SQL用的是%。

如果按照以下寫法，是容易產(chǎn)生SQL注入的：

復(fù)制代碼 代碼如下:

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

這個(gè)和PHP里的PDO是類似的，原理同MySQL Prepared Statements。

Python

Using the Python DB API, don't do this:

# Do NOT do it this way.

復(fù)制代碼 代碼如下:

cmd = "update people set name='%s' where id='%s'" % (name, id) curs.execute(cmd)

Instead, do this:
復(fù)制代碼 代碼如下:

cmd = "update people set name=%s where id=%s" curs.execute(cmd, (name, id))

Note that the placeholder syntax depends on the database you are using.
復(fù)制代碼 代碼如下:
'qmark' Question mark style, e.g. '...WHERE name=?' 'numeric' Numeric, positional style, e.g. '...WHERE name=:1' 'named' Named style, e.g. '...WHERE name=:name' 'format' ANSI C printf format codes, e.g. '...WHERE name=%s' 'pyformat' Python extended format codes, e.g. '...WHERE name=%(name)s'

The values for the most common databases are:

復(fù)制代碼 代碼如下:

>>> import MySQLdb; print MySQLdb.paramstyle format >>> import psycopg2; print psycopg2.paramstyle pyformat >>> import sqlite3; print sqlite3.paramstyle qmark

So if you are using MySQL or PostgreSQL, use %s (even for numbers and other non-string values!) and if you are using SQLite use ?

相關(guān)文章

最新評(píng)論

沭阳县| 长垣县| 盘锦市| 兴安盟| 汉阴县| 平潭县| 南宫市| 贵溪市| 晴隆县| 六枝特区| 广昌县| 新野县| 石泉县| 太白县| 若羌县| 舟曲县| 得荣县| 本溪市| 马公市| 嘉义县| 梁河县| 湘阴县| 定州市| 兴文县| 邢台市| 密山市| 云南省| 金寨县| 江北区| 铁岭县| 响水县| 安福县| 卢氏县| 惠来县| 平利县| 丹东市| 任丘市| 图们市| 兰考县| 齐齐哈尔市| 开阳县|