在 Python 中使用 MySQLdb 执行这样的 SQL 查询是否安全？

Question

我注意到大多数消息来源都说在 Python 中执行 SQL 语句的最佳实践是这样的：

cursor.execute( 'select * from coworkers where name = :1 and clue > :2', [ name, clue_threshold ] )

其他消息来源说

cursor.execute( "select * from coworkers where name = %s and clue > %s", ( name, clue_threshold ) )

我认为这非常相似。

无论如何，我一直在做的方式是创建字典并存储值。例如，初始字典 biz_info 看起来像这样：

biz_info = {
    'business'     : None,
    'name'         : None,
    'neighborhood' : None,
    'address'      : None,
    'city'         : None,
    'state'        : None,
    'zip_code'     : None,
    'latitude'     : None,
    'longitude'    : None,
    'phone'        : None,
    'url'          : None,
    'yelp_url'     : None,
}

然后我执行这样的 SQL 语句

execute_sql( cur, "insert into " + TABLE_BIZ_NAME + """ values (
                   NULL,
                   %(name)s,
                   %(neighborhood)s,
                   %(address)s,
                   %(city)s,
                   %(state)s,
                   %(zip_code)s,
                   %(latitude)s,
                   %(longitude)s,
                   %(phone)s,
                   %(url)s,
                   %(yelp_url)s,
                   NULL
                   )"""
                   , biz_info )

这对于 sql 注入安全吗？我想使用字典来存储信息，因为它更容易管理。

老实说，我什至不完全确定使用 %、、、%s、%d 之间有什么区别 和 %()s 表示参数化查询。基本上我所知道的是不使用

cursor.execute( "select * from coworkers where name = '%s' and clue > %d" % ( name, clue_threshold ) )

Answer 1

将参数传递给 sql 命令字符串的方式取决于数据库（例如，sqlite 使用 ?）。

根据MySQLdb文档，可以使用paramstyle参数来设置格式化字符串的首选方式（format 或 pyformat）。

您问题中的第一个示例似乎不受支持。无论如何，我想说，只要您不像上一个示例那样格式化整个字符串，您就是安全的，因为可以假设查询参数将被正确转义。

Answer 2

您的插入语句应该真正明确地指定要设置的字段名称，以防止架构更改造成破坏。另外，我发现您的代码过于重复。我会编写类似于这样的插入内容：

cursor.execute \
  (
        "insert into "
    +
        TABLE_BIZ_NAME
    +
        "("
    +
        ", ".join(biz_info.keys())
    +
        ") values ("
    +
        ", ".join(("%s",) * len(biz_info))
    +
        ")",
    biz_info.values()
  )

这样，在创建 biz_info 字典时，字段名称只需要列出一次。未来的任何变化只需要在那里更新即可。