python - 使用 _mysql 修复 SQL 注入(inject)

Question

我刚刚发现我使用 _mysql 的方式导致了一个主要的 SQL 注入(inject)问题。

我当前的代码如下:

db = _mysql.connect('', 'user', 'pass', 'db')
query = """SELECT * FROM stuff WHERE thing="{0}" """.format(user_input)
cur.query(query)

我做错了什么，我该如何解决它以确保安全？

我试过使用 _mysql.escape_string() 但它仍然返回 SQL 语法错误。

Answer 1

您可以单独使用 MySQLdb:

conn = MySQLdb.connect();
curs = conn.cursor();
curs.execute("SELECT * FROM stuff WHERE thing = %s", (user_input));

如果你想坚持使用 _mysql，请使用 db.escape_string(user_input)。

文档:http://mysql-python.sourceforge.net/MySQLdb.html