使用 _mysql 修复 SQL 注入答案

【问题标题】：Fixing SQL Injection With _mysql使用 _mysql 修复 SQL 注入
【发布时间】：2013-03-11 00:37:06
【问题描述】：

我刚刚发现我使用 _mysql 的方式导致了一个主要的 SQL 注入问题。

我当前的代码如下：

db = _mysql.connect('', 'user', 'pass', 'db')
query = """SELECT * FROM stuff WHERE thing="{0}" """.format(user_input)
cur.query(query)

我做错了什么，我该如何解决它以确保安全？

我尝试过使用 _mysql.escape_string() 但仍然返回 SQL 语法错误。

【问题讨论】：

【解决方案1】：

您可以单独使用MySQLdb：

conn = MySQLdb.connect();
curs = conn.cursor();
curs.execute("SELECT * FROM stuff WHERE thing = %s", (user_input));

如果您想坚持使用_mysql，请使用db.escape_string(user_input)。

【讨论】：

【解决方案2】：

可通过the bobby tables website 获得一个方便的参考。

您还可以在 In this powerpoint reference 中找到价值，它显示了一些 sql 注入示例以及缓解问题的可能方法。

【讨论】：