如何从用户查询字符串中设置 SELECT LIMIT答案

【问题标题】：How to set SELECT LIMIT from user query string如何从用户查询字符串中设置 SELECT LIMIT
【发布时间】：2018-04-01 11:53:16
【问题描述】：

是否可以将 URL 查询字符串值中的变量设置为 SQLite3 LIMIT 值？例如，当用户使用查询字符串 ?per_page=10 打开端点 /cities 时，网站仅返回来自城市的 10 个元素。

当我在 LIMIT 浏览器返回 sqlite3.OperationalError: no such column: limit_page 之后只放 limit_page 变量时

from flask import (
    Flask,
    g,
    redirect,
    render_template,
    request,
    url_for,
    jsonify,

) import sqlite3, itertools

app = Flask(__name__)


DATABASE = 'database.db'


def get_db():
    db = getattr(g, '_database', None)
    if db is None:
        db = g._database = sqlite3.connect(DATABASE)
        db.row_factory = sqlite3.Row
    return db


@app.teardown_appcontext 
def close_connection(exception):
    db = getattr(g, '_database', None)
    if db is not None:
        db.close()


@app.route('/cities') 
def city_list():
    limit_page = request.args.get('per_page')
    db = get_db()
    data = db.execute('''
    SELECT city FROM city LIMIT *limit_page*
    ''').fetchall()
    data_json = []
    for i in data:
        data_json.extend(list(i))

    return jsonify(data_json) 



if __name__ == '__main__':
    app.run(debug=True)

【问题讨论】：

标签： python-3.x flask sqlite query-string

【解决方案1】：

使用参数化查询：

limit_page = request.args.get('per_page')
if limit_page is not None:
    query = 'SELECT city FROM city LIMIT ?'
    args = (limit_page,)
else:
    query = 'SELECT city FROM city'
    args = ()
db = get_db()
data = db.execute(query, args).fetchall()

这将安全地将 GET 参数中的 per_page 的值插入 SQL 查询并执行它。使用参数化查询可以避免常见的 SQL 注入攻击，否则会出现。

【讨论】：