SQLAlchemy 查询是否容易受到注入攻击？

【问题标题】：Is a SQLAlchemy query vulnerable to injection attacks?SQLAlchemy 查询是否容易受到注入攻击？
【发布时间】：2015-11-04 03:34:06
【问题描述】：

我有以下使用like 搜索博客的查询。如果我这样做，我不确定我是否会让自己容易受到 SQL 注入攻击。 SQLAlchemy 是如何处理这个问题的？安全吗？

search_results = Blog.query.with_entities(Blog.blog_title).filter(Blog.blog_title.like("%"+ searchQuery['queryText'] +"%")).all()

【问题讨论】：

【解决方案1】：

您使用的任何数据库（sqlite3、psycopg2 等）的底层 db-api 库都会转义参数。 SQLAlchemy 只是将语句和参数传递给execute，驱动程序会做任何需要的事情。假设您自己没有编写包含参数的原始 SQL，那么您就不容易受到注入的影响。您的示例不易被注入。

【讨论】：