python - PostgreSQL COPY SQL 注入(inject)

Question

我正在使用 PostgreSQL 11 COPY 命令通过 Python 将大型 CSV 导入到数据库中，如下所示:

从带有 CSV header 分隔符的标准输入复制“ns”.“table”(“col1”、“col2”)作为 ','

如果此操作在 SQL 注入(inject)攻击方面是安全的，或者我是否应该手动检查 CSV 并转义文件中的每个值(这是一项非常繁重的操作)，我没有找到任何最新信息。

谢谢!

Answer 1

使用此命令没有 SQL 注入(inject)的危险。

如果用户提供了错误的数据，那么您最终会在表中得到错误的数据，或者在最坏的情况下，您可能会遇到错误，因为文件不是正确的 CSV 文件或因为违反了约束。

但是没有办法破坏执行语句的安全性，因为用户输入的任何内容都不会成为 SQL 语句的一部分。使用COPY，SQL语句和数据之间有明显的区别。