笔记：Python防止SQL注入

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

非安全的方式，使用动态拼接SQL

输入 ' or 1 = 1 or '1

sql ="""SELECT * FROM goods WHERE name = '%s';""" % find_name

from pymysql import connect

class JD(object):

    def __init__(self):

                     # 创建connect连接

        self.conn = connect(host='127.0.0.1', port=3306, user='root',

                            password='123456', database='jing_dong', charset='utf8')

        # 获得cursor对象

        self.cursor = self.conn.cursor()

    def execute_sql(self, sql):

        self.cursor.execute(sql)

        for temp in self.cursor.fetchall():

            print(temp)

    def get_info_by_name(self):

        """根据名字查询一个商品"""

        find_name = input('请输入想要查询的商品名称: ')

        sql = """SELECT * FROM goods where name = '%s'""" % find_name

        # 打印拼接出的字符串

        print('------>%s<------' % sql)

        self.execute_sql(sql)

    @staticmethod

    def print_menu():

        print('-----京东-----')

        print('1.查询商品信息')

        return input('请输入功能对应的序号: ')

    def run(self):

        while True:

            op = self.print_menu()

            if op == '1':

                self.get_info_by_name()

            else:

                print('输入错误...')

def main():

    jd = JD()

    jd.run()

if __name__ == '__main__':

    main()

SQL注入执行效果

因为使用动态拼接SQL，所以在应该输入的地方拼接了 ' or 1 = 1 or '1 ，打印出来的SQL为 SELECT * FROM goods where name = '' or 1=1 or'1' ，SQL恒真，相当于where条件失效，等价于 SELECT * FROM goods ,导致整表的数据被查询出来。

安全的方式，构造参数列表

params = []

sql = 'SELECT * FROM goods where name = %s'

self.cursor.execute(sql, params)

from pymysql import connect

class JD(object):

    def __init__(self):

        # 创建connect连接

        self.conn = connect(host='127.0.0.1', port=3306, user='root',

                            password='123456', database='jing_dong', charset='utf8')

        # 获得cursor对象

        self.cursor = self.conn.cursor()

    def execute_sql(self, sql):

        self.cursor.execute(sql)

        for temp in self.cursor.fetchall():

            print(temp)

    def get_info_by_name(self):

        """根据名字查询一个商品"""

        find_name = input('请输入想要查询的商品名称: ')

        params = [find_name]

        sql = 'SELECT * FROM goods where name = %s'

        self.cursor.execute(sql, params)

        print(self.cursor.fetchall())

        print('------>%s<------' % sql)

    @staticmethod

    def print_menu():

        print('-----京东-----')

        print('1.查询商品信息')

        return input('请输入功能对应的序号: ')

    def run(self):

        while True:

            op = self.print_menu()

            if op == '1':

                self.get_info_by_name()

            else:

                print('输入错误...')

def main():

    jd = JD()

    jd.run()

if __name__ == '__main__':

    main()