Исправление SQL-инъекций с _mysql

Question

Я только узнал, что способ, которым я пользуюсь _mysql, вызывает серьезную проблему с SQL-инъекцией.

Мой текущий код выглядит следующим образом:

db = _mysql.connect('', 'user', 'pass', 'db') 
query = """SELECT * FROM stuff WHERE thing="{0}" """.format(user_input) 
cur.query(query) 

Что я делаю неправильно и как я могу это исправить, так что это безопасно?

Я попытался использовать _mysql.escape_string(), но это все еще возвращает синтаксическую ошибку SQL.

Answer 1

Вы можете использовать MySQLdb по себе:

conn = MySQLdb.connect(); 
curs = conn.cursor(); 
curs.execute("SELECT * FROM stuff WHERE thing = %s", (user_input)); 

Если вы хотите придерживаться _mysql, используйте db.escape_string(user_input).

Документация: http://mysql-python.sourceforge.net/MySQLdb.html

Answer 2

Хороший удобный справочник доступен через the bobby tables website.

Вы также можете найти значение в In this powerpoint reference, в котором приведены примеры внедрения sql, а также возможные способы устранения проблемы.