Bagaimana untuk Mencipta Jadual Dinamik dalam SQLite dengan Selamat?

Penciptaan Jadual Dinamik dalam SQLite

Dalam pengurusan pangkalan data, fleksibiliti dan kecekapan adalah yang terpenting. Apabila bekerja dengan SQLite, persoalan timbul: bolehkah nama jadual berubah digunakan tanpa menggunakan pembina rentetan, amalan yang terdedah kepada serangan suntikan SQL?

Dalam kes ini, matlamatnya adalah untuk mencipta jadual bagi setiap bintang dalam simulasi bintang. Setiap jadual hendaklah dinamakan mengikut nama bintang. Pada mulanya, pendekatan ini melibatkan penggunaan pembina rentetan:

cursor.execute("CREATE TABLE StarFrame"+self.name+" (etc etc)")

Walau bagaimanapun, ini tidak sesuai. Untuk menangani isu ini, seseorang boleh mempertimbangkan untuk menggunakan parameter:

cursor.execute("CREATE TABLE StarFrame(?) (etc etc)",self.name)

Malangnya, jadual tidak boleh menjadi sasaran penggantian parameter. Oleh itu, pendekatan ini tidak boleh dilaksanakan.

Sebaliknya, untuk memastikan perlindungan terhadap serangan suntikan, fungsi sanitasi boleh digunakan. Fungsi ini menapis aksara khas dan memastikan nama jadual mengandungi hanya aksara abjad angka:

def scrub(table_name):
    return ''.join( chr for chr in table_name if chr.isalnum() )

table_name = scrub(self.name)
cursor.execute(f"CREATE TABLE StarFrame{table_name} (etc etc)")

Pendekatan ini membolehkan penciptaan jadual dinamik sambil melindungi daripada ancaman keselamatan. Dengan menanggalkan vektor suntikan yang berpotensi, ia mengekalkan integriti pangkalan data dan menghalang pelakon berniat jahat daripada mengeksploitasi aplikasi.

Atas ialah kandungan terperinci Bagaimana untuk Mencipta Jadual Dinamik dalam SQLite dengan Selamat?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!