防範SQL 注入的核心是使用參數(shù)化查詢，避免拼接SQL 語句；即使用了ORM 也需警惕原生查詢中的拼接風險；同時應(yīng)結(jié)合輸入驗證、權(quán)限最小化和錯誤信息處理等多方面措施。 1. 始終使用參數(shù)化查詢，如cursor.execute() 帶參數(shù)形式；2. ORM 中避免在raw() 等方法裡拼接變量；3. 對輸入進行白名單驗證；4. 數(shù)據(jù)庫賬號使用最小權(quán)限；5. 關(guān)閉不必要的數(shù)據(jù)庫功能；6. 不向用戶暴露詳細錯誤信息。
寫代碼時防不住SQL 注入，那真是一場災(zāi)難。尤其是用Python 做後端開發(fā)，數(shù)據(jù)庫操作頻繁，稍不注意就容易踩坑。想真正防住SQL 注入，光靠過濾輸入遠遠不夠，得從寫法和整體結(jié)構(gòu)上下手。
使用參數(shù)化查詢，別拼SQL 語句
最核心的一點就是：永遠不要自己拼接SQL 語句。很多人習慣用字符串格式化把變量拼進SQL 裡，比如：
query = f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'"這樣寫非常危險，只要有人輸入類似' OR '1'='1 ，就能繞過驗證。正確的做法是使用參數(shù)化查詢：
cursor.execute("SELECT * FROM users WHERE username = %s AND password = %s", (username, password))數(shù)據(jù)庫驅(qū)動會自動處理參數(shù)，確保輸入不會被當作SQL 執(zhí)行。這個方法在psycopg2 （PostgreSQL）、 MySQLdb 、 sqlite3等主流庫中都支持。
對ORM 也要保持警惕
很多人覺得用了ORM（比如SQLAlchemy 或Django ORM）就萬無一失了，其實不然。 ORM 的確能幫你避免大部分注入問題，但如果你用了原生SQL 查詢或者拼接語句，照樣有風險。
舉個例子，在Django 中這樣寫就很危險：
User.objects.raw(f"SELECT * FROM myapp_user WHERE id = {user_id}")雖然用了ORM 的raw()方法，但拼接了變量進去，還是容易被注入。正確做法是傳參數(shù)進去：
User.objects.raw("SELECT * FROM myapp_user WHERE id = %s", [user_id])所以，即使用了ORM，也得注意別亂拼SQL ，否則一樣出事。
輸入驗證和限制權(quán)限也很重要
除了寫法，還要從源頭控制風險。比如：
- 對輸入做白名單驗證，比如用戶名只允許字母數(shù)字，郵箱格式必須合規(guī)
- 數(shù)據(jù)庫賬號權(quán)限最小化，不要給Web 應(yīng)用用
root或admin賬號 - 不必要的數(shù)據(jù)庫功能關(guān)掉，比如存儲過程、遠程訪問等
這些措施雖然不能完全替代參數(shù)化查詢，但能大大降低被攻擊成功的可能性。
另外，錯誤信息別直接暴露給用戶。比如：
except Exception as e:
print(f"Database error: {e}") # 千萬別這樣返回給前端攻擊者可以通過錯誤信息反推出數(shù)據(jù)庫結(jié)構(gòu)，建議統(tǒng)一返回“系統(tǒng)錯誤”，日誌裡再記錄詳細信息。
基本上就這些。 SQL 注入防範看起來簡單，但真要寫好，得從寫法、框架使用、權(quán)限控制多個方面一起下手。光靠一個手段是防不住的，關(guān)鍵是形成一套完整的防禦習慣。
以上是確保Python代碼免受SQL注入攻擊的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！
熱AI工具
Undress AI Tool
免費脫衣圖片
Undresser.AI Undress
人工智慧驅(qū)動的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片
AI Clothes Remover
用於從照片中去除衣服的線上人工智慧工具。
Clothoff.io
AI脫衣器
Video Face Swap
使用我們完全免費的人工智慧換臉工具，輕鬆在任何影片中換臉！
熱門文章
熱工具
記事本++7.3.1
好用且免費的程式碼編輯器
SublimeText3漢化版
中文版，非常好用
禪工作室 13.0.1
強大的PHP整合開發(fā)環(huán)境
Dreamweaver CS6
視覺化網(wǎng)頁開發(fā)工具
SublimeText3 Mac版
神級程式碼編輯軟體(SublimeText3)
Python類中的多態(tài)性
Jul 05, 2025 am 02:58 AM
多態(tài)是Python面向?qū)ο缶幊讨械暮诵母拍?，指“一種接口，多種實現(xiàn)”，允許統(tǒng)一處理不同類型的對象。 1.多態(tài)通過方法重寫實現(xiàn)，子類可重新定義父類方法，如Animal類的speak()方法在Dog和Cat子類中有不同實現(xiàn)。 2.多態(tài)的實際用途包括簡化代碼結(jié)構(gòu)、增強可擴展性，例如圖形繪製程序中統(tǒng)一調(diào)用draw()方法，或遊戲開發(fā)中處理不同角色的共同行為。 3.Python實現(xiàn)多態(tài)需滿足：父類定義方法，子類重寫該方法，但不要求繼承同一父類，只要對象實現(xiàn)相同方法即可，這稱為“鴨子類型”。 4.注意事項包括保持方
Python函數(shù)參數(shù)和參數(shù)
Jul 04, 2025 am 03:26 AM
參數(shù)（parameters）是定義函數(shù)時的佔位符，而傳參（arguments）是調(diào)用時傳入的具體值。 1.位置參數(shù)需按順序傳遞，順序錯誤會導(dǎo)致結(jié)果錯誤；2.關(guān)鍵字參數(shù)通過參數(shù)名指定，可改變順序且提高可讀性；3.默認參數(shù)值在定義時賦值，避免重複代碼，但應(yīng)避免使用可變對像作為默認值；4.args和*kwargs可處理不定數(shù)量的參數(shù)，適用於通用接口或裝飾器，但應(yīng)謹慎使用以保持可讀性。
解釋Python發(fā)電機和迭代器。
Jul 05, 2025 am 02:55 AM
迭代器是實現(xiàn)__iter__()和__next__()方法的對象，生成器是簡化版的迭代器，通過yield關(guān)鍵字自動實現(xiàn)這些方法。 1.迭代器每次調(diào)用next()返回一個元素，無更多元素時拋出StopIteration異常。 2.生成器通過函數(shù)定義，使用yield按需生成數(shù)據(jù)，節(jié)省內(nèi)存且支持無限序列。 3.處理已有集合時用迭代器，動態(tài)生成大數(shù)據(jù)或需惰性求值時用生成器，如讀取大文件時逐行加載。注意：列表等可迭代對像不是迭代器，迭代器到盡頭後需重新創(chuàng)建，生成器只能遍歷一次。
python`@classmethod'裝飾師解釋了
Jul 04, 2025 am 03:26 AM
類方法是Python中通過@classmethod裝飾器定義的方法，其第一個參數(shù)為類本身(cls)，用於訪問或修改類狀態(tài)。它可通過類或?qū)嵗{(diào)用，影響的是整個類而非特定實例；例如在Person類中，show_count()方法統(tǒng)計創(chuàng)建的對像數(shù)量；定義類方法時需使用@classmethod裝飾器並將首參命名為cls，如change_var(new_value)方法可修改類變量；類方法與實例方法(self參數(shù))、靜態(tài)方法(無自動參數(shù))不同，適用於工廠方法、替代構(gòu)造函數(shù)及管理類變量等場景；常見用途包括從
如何處理Python中的API身份驗證
Jul 13, 2025 am 02:22 AM
處理API認證的關(guān)鍵在於理解並正確使用認證方式。 1.APIKey是最簡單的認證方式，通常放在請求頭或URL參數(shù)中；2.BasicAuth使用用戶名和密碼進行Base64編碼傳輸，適合內(nèi)部系統(tǒng)；3.OAuth2需先通過client_id和client_secret獲取Token，再在請求頭中帶上BearerToken；4.為應(yīng)對Token過期，可封裝Token管理類自動刷新Token；總之，根據(jù)文檔選擇合適方式，並安全存儲密鑰信息是關(guān)鍵。
什麼是python魔法方法或dunder方法？
Jul 04, 2025 am 03:20 AM
Python的magicmethods（或稱dunder方法）是用於定義對象行為的特殊方法，它們以雙下劃線開頭和結(jié)尾。 1.它們使對象能夠響應(yīng)內(nèi)置操作，如加法、比較、字符串表示等；2.常見用例包括對像初始化與表示（__init__、__repr__、__str__）、算術(shù)運算（__add__、__sub__、__mul__）及比較運算（__eq__、__lt__）；3.使用時應(yīng)確保其行為符合預(yù)期，例如__repr__應(yīng)返回可重構(gòu)對象的表達式，算術(shù)方法應(yīng)返回新實例；4.應(yīng)避免過度使用或以令人困惑的方
Python內(nèi)存管理如何工作？
Jul 04, 2025 am 03:26 AM
Pythonmanagesmemoryautomaticallyusingreferencecountingandagarbagecollector.Referencecountingtrackshowmanyvariablesrefertoanobject,andwhenthecountreacheszero,thememoryisfreed.However,itcannothandlecircularreferences,wheretwoobjectsrefertoeachotherbuta
描述Python中的Python垃圾收集。
Jul 03, 2025 am 02:07 AM
Python的垃圾回收機制通過引用計數(shù)和周期性垃圾收集來自動管理內(nèi)存。其核心方法是引用計數(shù)，當對象的引用數(shù)為零時立即釋放內(nèi)存；但無法處理循環(huán)引用，因此引入了垃圾收集模塊（gc）來檢測並清理循環(huán)。垃圾回收通常在程序運行中引用計數(shù)減少、分配與釋放差值超過閾值或手動調(diào)用gc.collect()時觸發(fā)。用戶可通過gc.disable()關(guān)閉自動回收、gc.collect()手動執(zhí)行、gc.set_threshold()調(diào)整閾值以實現(xiàn)控制。並非所有對像都參與循環(huán)回收，如不包含引用的對象由引用計數(shù)處理，內(nèi)置
