代码如下:
<br />c=db.cursor()<br />max_price=5<br />c.execute("""SELECT spam, eggs, sausage FROM breakfast<br /> WHERE price < %s""", (max_price,))<br />
注意，上面的SQL字符串与后面的tuple之间的分隔符是逗号，平时拼写SQL用的是%。
如果按照以下写法，是容易产生SQL注入的：
<br />c.execute("""SELECT spam, eggs, sausage FROM breakfast<br /> WHERE price < %s""" % (max_price,))<br />
这个和PHP里的PDO是类似的，原理同MySQL Prepared Statements。
Python
Using the Python DB API, don’t do this:
# Do NOT do it this way.
<br />cmd = "update people set name='%s' where id='%s'" % (name, id) curs.execute(cmd)<br />
Instead, do this:
<br />cmd = "<i>本文来源gaodai$ma#com搞$$代**码)网@</i>update people set name=%s where id=%s" curs.execute(cmd, (name, id))<br />
Note that the placeholder syntax depends on the database you are using.
'qmark' Question mark style, e.g. '...WHERE name=?' 'numeric' Numeric, positional style, e.g. '...WHERE name=:1' 'named' Named style, e.g. '...WHERE name=:name' 'format' ANSI C printf format codes, e.g. '...WHERE name=%s' 'pyformat' Python extended format codes, e.g. '...WHERE name=%(name)s'
The values for the most common databases are:
<br />>>> import MySQLdb; print MySQLdb.paramstyle format >>> import psycopg2; print psycopg2.paramstyle pyformat >>> import sqlite3; print sqlite3.paramstyle qmark<br />
So if you are using MySQL or PostgreSQL, use %s (even for numbers and other non-string values!) and if you are using SQLite use ?
搞代码网（gaodaima.com）提供的所有资源部分来自互联网，如果有侵犯您的版权或其他权益，请说明详细缘由并提供版权或权益证明然后发送到邮箱[email protected]，我们会在看到邮件的第一时间内为您处理，或直接联系QQ：872152909。本网站采用BY-NC-SA协议进行授权
转载请注明原文链接：Pyhton中防止SQL注入的方法
转载请注明原文链接：Pyhton中防止SQL注入的方法
