python - 在 Python 中过滤 SQL 语句以防止恶意注入(inject)

Question

希望允许客户端应用程序对我们的数据库执行 SQL 查询。

查询将是对数据的请求，客户端永远不能修改数据。

有没有办法允许客户端发送 SQL 语句，然后筛选恶意注入(inject)，然后通过数据库传递？

我们针对 PostgreSQL 数据库使用 Python 的 SQLAlchemy 库。

谢谢!

Answer 1

比尝试解释恶意查询更简单的选择是创建一个具有只读权限的数据库用户。然后，您的最终用户将使用该帐户运行 SELECT 查询。您无需担心恶意插入和删除，因为不允许“写入”查询。您还可以进一步修改权限，以不允许访问您不希望客户看到的数据等。

查看此 SO question and answers有关创建“只读”用户的一些信息。