python - 在 sqlite3.connect() 中使用用户输入的变量是否存在安全风险？

Question

我让用户通过 python 应用程序创建并连接到数据库，

           dbname = raw_input("Please enter the game name you wish to connect to, or the name of a new game: ")
           db = sqlite3.connect(dbname)

我很好奇:潜在恶意用户是否可以使用任何类型的输入来攻击数据库(前提是我在其他处理程序中没有其他漏洞)或攻击运行 python 的底层系统？ (我知道用户可以通过一遍又一遍地运行该程序来继续创建无限数量的数据库，但是我想不出除了配额之外的任何其他解决方案)。

提前致谢!

特拉维斯

Answer 1

它们可以传入 ":memory"，这可能会对系统产生不利影响，也可能不会产生不利影响，具体取决于您的应用程序的作用。

他们可以 control transactions (通过 isolation_level 参数)，这可能会扰乱您的程序与数据库的交互。

我会根据可能的数据库名称字典检查用户输入。