python 的轻量级 DBAL

Question

有人可以向我推荐一些最适合我的要求的 python DBAL 库吗？我想直接编写sql语句，大部分逻辑将在db存储过程（postgresql）中，所以我只需要调用db过程，向它们传递参数并获取结果。该库应该帮助我引用（防止 sql 注入）。 我玩过sqlalchemy，但我认为直接将sql语句写入engine.execute方法时没有引用助手。

谢谢

Answer 1

您应该更深入地了解 sqlalchemy；它在引用占位符方面做得很好：

>>> engine = sqlalchemy.create_engine("sqlite:///:memory:")
>>> engine.execute("select ?", 5).fetchall()
[(5,)]
>>> engine.execute("select ?", "; drop table users; --").fetchall()
[(u'; drop table users; --',)]

Answer 2

如果你正确使用的话，psycopg2（通过 DB-API）会自动引用以防止 SQL 注入。 （python 方式是错误的；您必须将参数作为参数传递给查询命令本身。）

错误：

cur.execute('select * from table where last="%s" and first="%s"'
     % (last, first))

正确：

cur.execute('select * from table where last=%s and first=%s',
     (last, first))

注意：您不使用 %，并且你不会在你的价值观周围加上引号。

MySQLdb 和 sqlite3 的语法略有不同。 （例如，sqlite 使用 ? 而不是 %s。）

此外，对于 psycopg2，即使您正在处理数字或其他类型，也始终使用 %s。