3个涉及Python和SQLite的问题

Question

我正在创建与游戏服务器一起使用的函数。该服务器使用插件。我有这些使用 SQLite 数据库的函数，以及 apsw 来检索另一个函数存储的项目。我对此有3个问题。

问题一：我不断收到错误“SQLError：near “？”：语法错误” 由于我的语句具有多个 ?，因此很难找出到底是什么错误。那么有什么问题吗？

问题二：我知道 SQL 注入，但这些函数只接受脚本运行者的输入，而他唯一会破坏的东西就是他自己的东西。即便如此，有没有一种简单的方法可以证明 SQL 注入？

问题三：有什么办法可以让这个功能更加高效吗？

现在看起来是这样的：

def readdb(self,entry,column,returncolumn = "id,matbefore,matafter,name,date"):
    self.memwrite
    if isinstance(entry, int) or isinstance(entry, str):
        statement = 'SELECT {0} FROM main WHERE {1} IN {2}'.format(returncolumn,column,entry)
        self.memcursor.execute(statement)
        blockinfo = self.memcursor.fetchall()
        return(blockinfo)
    if isinstance(entry, tuple) or isinstance(entry, list):
        statement = '''SELECT {0} FROM main WHERE {1} IN (%s)'''.format(returncolumn,column)
        self.memcursor.execute(statement % ("?," * len(entry))[:-1], entry)
        blockinfo = self.memcursor.fetchall()
        return(blockinfo

Answer 1

这很有趣（请继续阅读以了解原因）。

您的第一个语句实际上使用了 sqlite3 模块的值绑定机制（我假设这就是您使用的）。因此，*（默认列）被转义，使得语句无效。这是 SQL 注入证明，您自己的代码会尝试注入 SQL（现在看到有趣的事情了吗？）。

第二次使用 Python 字符串替换来构建查询字符串，这不是 SQL 注入证明。

Answer 2

使用名称来获取更多信息性错误消息。例如，我故意省略了一个逗号：

 cur.execute("select ? ?,?", (1,2,3))
 SQLError: near "?": syntax error

现在使用名称：

 cur.execute("select :1 :2,:3", (1,2,3))
 SQLError: near ":2": syntax error

如果您有很多绑定，我建议您切换到命名绑定样式并传递绑定本身的字典。

cur.execute("select :artist, :painting, :date", 
  {"artist": "Monster", "painting": "The Duck", "date": "10/10/2010" })

您只能对值使用绑定，而不能对列名或表名使用绑定。有几种可能的方法。尽管 SQLite 支持任意列/表名称，但您可以要求它们仅为 ASCII 字母数字文本。如果您想减少限制，则需要引用名称。在包含双引号的名称周围使用方括号，在包含方括号的名称周围使用双引号。一个名字不能兼而有之。

所有这些的替代方法是使用授权者机制。有关 API，请参阅 Connection.setauthorizer和一个指向示例的指针。简而言之，您的回调将被调用，并执行将要执行的操作，因此您可以拒绝任何写入数据库的操作。

在效率方面，您可以根据调用者如何使用结果来改进事情。游标非常便宜。没有必要尝试一遍又一遍地重复使用同一个，否则可能会导致细微的错误。 SQLite 仅在您请求时获取结果的下一行。通过使用 fetchall，您坚持构建所有结果的列表。如果列表可能很大或者您可能中途停止，则只需返回 db.cursor().execute("... query ...")。然后调用者应该使用你的函数进行迭代：

for id,matbefore,matafter,name,date in readdb(...):
    ... do something ...

在你的地方，我会完全废弃这个 readdb 函数，因为它不会添加任何值并直接编写查询：

for id,foo,bar in db.cursor().execute("select id,foo,bar from .... where ...."):
    ... do something ...

你的编码风格表明你对 Python 相当陌生。我强烈建议查找迭代器和生成器。这是一种更简单的编码风格，可以根据需要生成和使用结果。

顺便说一句，此 SQL 创建一个名称长度为零的表，以及名为双引号和分号的列。 SQLite 功能很好，但不要这样做:-) 然而它对于测试很有用。

create table "" (["], ";");

披露：我是 APSW 作者