python - pymssql 和占位符

Question

我可以在 pymssql 中使用哪些占位符。我从 html 查询字符串中获取我的值，因此它们都是字符串类型。这对于 sql 注入(inject)安全吗？

query = dictify_querystring(Response.QueryString)
employeedata = conn.execute_row("SELECT * FROM employees WHERE company_id=%s and name = %s", (query["id"], query["name"]))  

在这种情况下使用什么机制来避免注入(inject)？

pymssql 的文档方式不多...

也许有一个更好的 python 模块我可以用来与 Sql Server 2005 交互。

谢谢，

巴里

Answer 1

关于 SQL 注入(inject)，并且不知道该实现的具体工作原理，我会说那是不安全的。

一些简单的步骤:

1. 将该查询更改为准备好的语句(或确保内部实现这样做，但看起来不像)。

2. 确保在查询参数周围使用 '。

3. 验证参数的预期类型(如果应该是数字的请求参数确实是数字等)。

大多数情况下...第一位是关键。使用准备好的语句是抵御 SQL 注入(inject)的最重要且可能最简单的防线。

有些 ORM 会为您解决其中的一些问题(请注意 some 这个词的大量使用)，但我建议您在使用之前确保了解这些问题以及如何解决这些问题像 ORM 一样的抽象。

迟早，您需要知道在这些美妙的节省时间层之下发生了什么。