Bagaimana untuk Membuat Jadual dengan Selamat dengan Nama Dinamik dalam SQLite?

Nama Jadual Pembolehubah dalam SQLite

Dalam SQLite, anda mungkin menghadapi situasi di mana anda perlu mencipta jadual secara dinamik dengan nama yang disimpan dalam pembolehubah. Walaupun biasa menggunakan pembina rentetan untuk tujuan ini, kebimbangan keselamatan timbul kerana potensi serangan suntikan SQL.

Malangnya, SQLite tidak membenarkan penggantian parameter untuk nama jadual. Walau bagaimanapun, amalan terbaik menentukan penggunaan penggantian parameter untuk melindungi daripada serangan suntikan.

Penyelesaian Alternatif: Menggosok Pembolehubah

Memandangkan nama jadual tidak boleh diparameterkan secara langsung, a penyelesaian yang berdaya maju adalah dengan menggosok pembolehubah yang mengandungi nama jadual sebelum menghantarnya ke CREATE TABLE pernyataan.

Anda boleh mencipta fungsi yang membersihkan pembolehubah dengan mengalih keluar semua aksara kecuali abjad angka. Sebagai contoh, fungsi Python berikut menghilangkan tanda baca, ruang kosong dan aksara bukan abjad angka yang lain:

def scrub(table_name):
    return ''.join( chr for chr in table_name if chr.isalnum() )

scrub('); drop tables --') # returns 'droptables'

Menggunakan fungsi ini, anda boleh mencipta jadual dengan nama jadual berubah, memastikan aksara berniat jahat dialih keluar , mencegah serangan suntikan:

table_name = 'StarFrame' + self.name
cursor.execute('CREATE TABLE {} (etc etc)'.format(scrub(table_name)))

Atas ialah kandungan terperinci Bagaimana untuk Membuat Jadual dengan Selamat dengan Nama Dinamik dalam SQLite?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!