Python编程中防止字符型sql注入的实践案例-精创网络云防护

帮助文档
Python编程中防止字符型sql注入的实践案例
来源：www.jcwlyf.com更新时间：2025-07-24
在Python编程中，SQL注入是一种常见且危险的安全漏洞，特别是当涉及字符型输入时，攻击者可能会通过构造恶意的字符输入来改变SQL语句的原意，从而执行非预期的操作，如获取敏感信息、修改数据库数据甚至删除数据库等。本文将详细介绍Python编程中防止字符型SQL注入的实践案例，帮助开发者更好地保障应用程序的安全。
一、SQL注入原理及危害
SQL注入的原理是攻击者通过在应用程序的输入字段中添加恶意的SQL代码，利用程序对输入过滤不严格的漏洞，使恶意代码成为SQL语句的一部分并被执行。在字符型SQL注入中，攻击者通常会利用单引号等字符来破坏原SQL语句的结构。例如，一个简单的登录验证SQL语句可能如下：
```
SELECT * FROM users WHERE username = '输入的用户名' AND password = '输入的密码';
```
如果攻击者在用户名输入框中输入 " ' OR '1'='1 "，那么最终执行的SQL语句就会变成：
```
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '输入的密码';
```
由于 '1'='1' 始终为真，攻击者就可以绕过密码验证登录系统。这种攻击可能导致数据库中的敏感信息泄露，如用户的个人信息、财务信息等，还可能对数据库进行恶意修改或删除操作，给企业和用户带来巨大的损失。
二、使用参数化查询防止SQL注入
在Python中，使用参数化查询是防止字符型SQL注入的最有效方法之一。不同的数据库驱动有不同的参数化查询方式，下面分别以常见的MySQL和SQLite为例进行介绍。
1. 使用MySQL数据库
在Python中，我们可以使用 "mysql-connector-python" 库来连接MySQL数据库并进行参数化查询。以下是一个示例代码：
```
import mysql.connector

# 连接数据库
mydb = mysql.connector.connect(
    host="localhost",
    user="your_username",
    password="your_password",
    database="your_database"
)

# 创建游标
mycursor = mydb.cursor()

# 定义查询语句和参数
username = "test_user"
password = "test_password"
sql = "SELECT * FROM users WHERE username = %s AND password = %s"
val = (username, password)

# 执行查询
mycursor.execute(sql, val)

# 获取查询结果
results = mycursor.fetchall()

# 输出结果
for row in results:
    print(row)

# 关闭游标和数据库连接
mycursor.close()
mydb.close()
```
在上述代码中，我们使用 "%s" 作为占位符，将用户输入的用户名和密码作为参数传递给 "execute" 方法。这样，数据库驱动会自动对参数进行转义，防止SQL注入。
2. 使用SQLite数据库
对于SQLite数据库，Python的内置 "sqlite3" 库提供了参数化查询的功能。以下是一个示例代码：
```
import sqlite3

# 连接数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()

# 定义查询语句和参数
username = "test_user"
password = "test_password"
sql = "SELECT * FROM users WHERE username =? AND password =?"
val = (username, password)

# 执行查询
cursor.execute(sql, val)

# 获取查询结果
results = cursor.fetchall()

# 输出结果
for row in results:
    print(row)

# 关闭游标和数据库连接
cursor.close()
conn.close()
```
在SQLite中，我们使用 "?" 作为占位符，同样将用户输入的参数传递给 "execute" 方法，实现参数化查询。
三、输入验证和过滤
除了使用参数化查询，输入验证和过滤也是防止SQL注入的重要手段。我们可以在接收用户输入时，对输入进行合法性检查，只允许合法的字符和格式。以下是一个简单的输入验证示例：
```
import re

def validate_input(input_str):
    # 只允许字母、数字和下划线
    pattern = re.compile(r'^[a-zA-Z0-9_]+$')
    if pattern.match(input_str):
        return True
    return False

username = input("请输入用户名：")
if validate_input(username):
    print("输入合法")
else:
    print("输入包含非法字符")
```
在上述代码中，我们使用正则表达式来验证用户输入的用户名是否只包含字母、数字和下划线。如果输入不合法，我们可以拒绝该输入，从而减少SQL注入的风险。
四、使用ORM框架
ORM（对象关系映射）框架可以将数据库表映射为Python对象，使开发者可以通过操作对象来完成数据库操作，而无需直接编写SQL语句。常见的Python ORM框架有SQLAlchemy和Django ORM等。以下是使用SQLAlchemy的示例代码：
```
from sqlalchemy import create_engine, Column, Integer, String
from sqlalchemy.orm import sessionmaker
from sqlalchemy.ext.declarative import declarative_base

# 创建数据库引擎
engine = create_engine('sqlite:///example.db')

# 创建基类
Base = declarative_base()

# 定义用户表模型
class User(Base):
    __tablename__ = 'users'
    id = Column(Integer, primary_key=True)
    username = Column(String)
    password = Column(String)

# 创建表
Base.metadata.create_all(engine)

# 创建会话
Session = sessionmaker(bind=engine)
session = Session()

# 查询用户
username = "test_user"
user = session.query(User).filter_by(username=username).first()

if user:
    print(f"找到用户：{user.username}")
else:
    print("未找到用户")

# 关闭会话
session.close()
```
在上述代码中，我们使用SQLAlchemy定义了一个用户表模型，并通过 "query" 方法进行查询。SQLAlchemy会自动处理参数化查询，避免了SQL注入的风险。
五、总结
在Python编程中，防止字符型SQL注入是保障应用程序安全的重要任务。我们可以通过使用参数化查询、输入验证和过滤、使用ORM框架等多种方法来有效防止SQL注入。参数化查询是最基本和有效的方法，它可以自动对用户输入进行转义，避免恶意代码的执行。输入验证和过滤可以在源头上减少非法输入的可能性，而ORM框架则提供了一种更高级的数据库操作方式，进一步提高了代码的安全性和可维护性。开发者在编写代码时，应该始终牢记SQL注入的风险，并采取相应的措施来保障应用程序的安全。
同时，我们还应该定期对应用程序进行安全审计和漏洞扫描，及时发现和修复潜在的安全问题。只有不断加强安全意识和采取有效的安全措施，才能确保应用程序在面对各种攻击时保持稳定和安全。