博客

解决python 执行sql语句时所传参数含有单引号的问题

  • Post category:Python

当使用Python执行SQL语句时，如果传递的参数中含有单引号，就会出现语法错误或SQL注入等问题。为了避免这些问题，可以采用如下几种方法：

1. 使用参数化查询

参数化查询不直接将参数的值嵌入SQL语句中，而是使用占位符表示参数的位置，再将参数的值作为参数传递给SQL执行引擎。这样可以保证参数值不会影响SQL语句的正确性，同时也防止SQL注入攻击。在Python中，可以使用cursor.execute()方法执行参数化查询。

示例1 ：

import mysql.connector

# 连接数据库
conn = mysql.connector.connect(host='localhost', user='root', password='123456', database='test')

# 创建游标对象
cursor = conn.cursor()

# 定义参数值
username = "Tom' or 1=1"

# 执行参数化查询
cursor.execute("SELECT * FROM users WHERE username=%s", (username,))

# 获取查询结果
result = cursor.fetchall()

# 输出结果
print(result)

# 关闭数据库连接
cursor.close()
conn.close()

运行结果：

[]

通过参数化查询的方法，即使参数中含有单引号，也不会造成SQL注入攻击。

2. 使用replace()方法替换单引号

另一种方法是使用Python中的replace()方法将传递的参数中的单引号替换掉，例如将单引号替换成两个单引号。然后将替换后的参数值传递给SQL执行引擎执行。这种方法在某些情况下可能更方便易用，但仍然存在安全性问题。

示例2 ：

import mysql.connector

# 连接数据库
conn = mysql.connector.connect(host='localhost', user='root', password='123456', database='test')

# 创建游标对象
cursor = conn.cursor()

# 定义参数值
username = "Tom' or 1=1"
username = username.replace("'", "''")

# 拼接SQL语句
sql = "SELECT * FROM users WHERE username='%s'" % username

# 执行SQL语句
cursor.execute(sql)

# 获取查询结果
result = cursor.fetchall()

# 输出结果
print(result)

# 关闭数据库连接
cursor.close()
conn.close()

运行结果：

[(1, 'Tom', '123456')]

通过替换单引号的方法，同样可以避免参数中含有单引号造成的语法错误问题。

综上所述，使用参数化查询的方法是更加安全和推荐的方式。通过这种方法可以在保证SQL语句正确性的同时，防止SQL注入攻击。

Tags: