使用_mysql修复SQL注入

Question

我刚刚发现我使用_mysql的方式导致了一个主要的SQL注入问题。

我当前的代码如下所示：

db = _mysql.connect('', 'user', 'pass', 'db')
query = """SELECT * FROM stuff WHERE thing="{0}" """.format(user_input)
cur.query(query)

我做错了什么?我如何才能修复它，使它是安全的？

我尝试过使用_mysql.escape_string()，但仍然返回一个SQL语法错误。

Answer 1

您可以单独使用MySQLdb：

conn = MySQLdb.connect();
curs = conn.cursor();
curs.execute("SELECT * FROM stuff WHERE thing = %s", (user_input));

如果你想坚持使用_mysql，那就使用db.escape_string(user_input)。

文档：http://mysql-python.sourceforge.net/MySQLdb.html

Answer 2

在the bobby tables website上有一个很好用的参考资料。

您还可以在In this powerpoint reference中找到价值，它显示了sql注入的一些示例以及缓解该问题的可能方法。