安全处理 IN 查询：了解 WHERE IN 语句
使用数据库查询时，根据一组值检索特定记录是常见要求。 WHERE IN 语句提供了一种有效的方法来实现此目的。
数据库架构和意图
考虑以下数据库table:
CREATE TABLE IF NOT EXISTS tab (_id integer PRIMARY KEY AUTOINCREMENT, obj text NOT NULL);
您打算检索 obj 所在的记录列值与变量列表匹配，如果处理不当，可能容易受到 SQL 注入的攻击。
第一种方法：手动方法
尝试使用手动构造查询list_of_vars 和 join() 生成占位符字符串可能会因数量不匹配而引发错误statement = "SELECT * FROM tab WHERE obj IN (?);" c.execute(statement, "'"+"','".join(list_of_vars)+"'")
推荐方法：参数化查询
要安全地执行 IN 查询，请使用参数占位符 (?) 并将变量列表绑定为参数。使用 format 方法创建语句以生成适当数量的占位符：
statement = "SELECT * FROM tab WHERE obj IN ({0})".format(', '.join(['?'] * len(list_of_vars)))
c.execute(statement, list_of_vars)以上是如何安全使用WHERE IN语句防止SQL注入？的详细内容。更多信息请关注PHP中文网其他相关文章！
