在Python中使用SQLite时如何防止SQL注入攻击？

在 Python 中防止 SQL 注入

从不受信任的来源（例如用户输入）获取数据时，防止 SQL 注入攻击至关重要。在Python中，使用SQLite，您可以使用游标的execute()方法有效地保护您的数据库。

考虑以下代码片段：

def setLabel( self, userId, refId, label ):
    self._db.cursor().execute( """
        UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", ( label, userId, refId) )
    self._db.commit()

在此示例中，标签是从获取的用户并直接插入到 SQL 查询中。这会暴露 SQL 注入攻击的漏洞。

为了保护操作，请使用带有参数的execute()方法，如下所示：

def setLabel( self, userId, refId, label ):
    self._db.cursor().execute( """
        UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", 
        ( label, userId, refId) )
    self._db.commit()

参数会被 SQLite 自动转义并包含在查询中。这可以防止攻击者将恶意代码注入您的数据库。通过采用这种方法，您可以有效地保护您的应用程序免受 SQL 注入攻击。

以上是在Python中使用SQLite时如何防止SQL注入攻击？的详细内容。更多信息请关注PHP中文网其他相关文章！