Python最佳实践和最安全的方法来连接MySQL和执行查询

Question

在mysql上运行查询的最安全方法是什么，我知道MySQL和SQL注入涉及的危险。但是，我不知道如何运行查询以防止注入其他用户（Web客户端）可以操纵的变量。我曾经编写自己的转义函数，但显然这是“未完成”的。我应该使用什么，以及如何使用它来通过python在MySQL数据库上安全地进行查询和插入，而又不会冒mysql注入的风险？

Answer 1

为避免注入，请使用executewith %s代替每个变量，然后通过列表或元组传递值作为的第二个参数execute。这是文档中的一个示例：

c=db.cursor()

max_price=5

c.execute("""SELECT spam, eggs, sausage FROM breakfast

          WHERE price < %s""", (max_price,))

请注意，这是使用逗号而不是％（这将是直接字符串替换，不会转义）。不要这样做：

c.execute("""SELECT spam, eggs, sausage FROM breakfast

          WHERE price < %s""" % (max_price,))

此外，'%s'如果参数是字符串，则不需要在位置保持器（）周围加上引号。