SQL 注入保护是否内置在 SQLAlchemy 的 ORM 或 Core 中？

Question

我正在开发一个aiohttp server 应用程序，我刚刚看到了apparently it isn't able to use SQLAlchemy's ORM layer。所以，我想知道：如果我的应用程序只能使用 SQLAlchemy 的核心，它是否仍然可以防止 SQL 注入攻击？

我的代码如下：

async def add_sensor(db_engine, name):
    async with db_engine.acquire() as connection:
        query = model.Sensor.__table__.insert().values(name=name)
        await connection.execute(query)

对this related question 中接受的答案的评论让我怀疑：

您仍然可以使用 execute() 或其他不会被 被 SQLAlchemy 转义。

那么，我的代码中使用了execute()，上面的引用是否意味着我的代码不安全？总的来说：只有 SQLAlchemy ORM 层才能防止 SQL 注入，就像你最终会启动 execute() 的核心层一样？

Answer 1

在您上面的示例中，我没有看到提供给数据库查询的任何变量。由于没有用户提供的输入，因此也无法进行 Sql 注入。

即使存在用户提供的值，只要您不使用带有 sqlalchemy 的手写 sql 语句而是使用 orm 模型方法 (model.Sensor.__table__.select())，如您的示例中所示，您可以安全地防止 Sql 注入。

最后，这一切都是为了明确地告诉 sqlalchemy 应该使用哪些列和表来选择和插入数据，并将其与正在插入或选择的数据分开。切勿将数据字符串与查询字符串结合使用，始终使用 sqlalchemy orm 模型对象来描述您的查询。

坏方法（Sql Injectable）：

Session.execute("select * form users where name = %s" % request.GET['name'])

好方法（不是 Sql Injectable）：

Session.execute(model.users.__table__.select().where(model.users.name == request.GET['name']))