深入浅出剖析Python如何防止SQL注入-精创网络云防护

帮助文档
深入浅出剖析Python如何防止SQL注入
来源：www.jcwlyf.com更新时间：2025-09-23
在当今数字化时代，数据安全至关重要。而在使用 Python 进行数据库操作时，SQL 注入是一个不容忽视的安全隐患。SQL 注入是一种常见的网络攻击手段，攻击者通过在应用程序的输入字段中添加恶意的 SQL 代码，从而绕过应用程序的安全机制，非法获取、修改或删除数据库中的数据。本文将深入浅出地剖析 Python 如何防止 SQL 注入，帮助开发者编写更加安全的代码。
什么是 SQL 注入
SQL 注入是指攻击者通过向应用程序的输入字段中添加恶意的 SQL 代码，来改变原本的 SQL 查询语句的语义，从而达到非法操作数据库的目的。例如，在一个简单的登录表单中，用户输入用户名和密码，应用程序会根据用户输入的信息构建一个 SQL 查询语句来验证用户的身份。如果应用程序没有对用户输入进行有效的过滤和验证，攻击者就可以通过输入恶意的 SQL 代码来绕过身份验证。
假设一个简单的登录验证 SQL 语句如下：
```
SELECT * FROM users WHERE username = '输入的用户名' AND password = '输入的密码';
```
如果攻击者在用户名输入框中输入 ' OR '1'='1，密码输入框中随意输入，那么最终的 SQL 语句就会变成：
```
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '随意输入的密码';
```
由于 '1'='1' 始终为真，所以这个查询语句会返回所有的用户记录，攻击者就可以绕过登录验证。
Python 中 SQL 注入的常见场景
在 Python 中，使用不同的数据库驱动进行数据库操作时，都可能存在 SQL 注入的风险。以下是几种常见的场景：
使用字符串拼接构建 SQL 语句
这是最容易导致 SQL 注入的方式。例如，使用 MySQLdb 驱动进行数据库操作：
```
import MySQLdb

username = input("请输入用户名: ")
password = input("请输入密码: ")

conn = MySQLdb.connect(host='localhost', user='root', password='password', database='test')
cursor = conn.cursor()

sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "';"
cursor.execute(sql)
results = cursor.fetchall()

if results:
    print("登录成功")
else:
    print("登录失败")

conn.close()
```
在这个例子中，用户输入的内容直接拼接到 SQL 语句中，没有进行任何过滤和验证，攻击者可以通过输入恶意的 SQL 代码来绕过登录验证。
使用格式化字符串构建 SQL 语句
使用格式化字符串构建 SQL 语句也存在同样的风险。例如：
```
import sqlite3

username = input("请输入用户名: ")
password = input("请输入密码: ")

conn = sqlite3.connect('test.db')
cursor = conn.cursor()

sql = f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}';"
cursor.execute(sql)
results = cursor.fetchall()

if results:
    print("登录成功")
else:
    print("登录失败")

conn.close()
```
同样，用户输入的内容直接嵌入到 SQL 语句中，容易受到 SQL 注入攻击。
Python 防止 SQL 注入的方法
使用参数化查询
参数化查询是防止 SQL 注入的最有效方法。不同的数据库驱动都支持参数化查询，它会将用户输入的内容作为参数传递给 SQL 语句，而不是直接拼接到 SQL 语句中。这样，数据库会自动对用户输入进行处理，防止恶意的 SQL 代码注入。
使用 MySQLdb 进行参数化查询
```
import MySQLdb

username = input("请输入用户名: ")
password = input("请输入密码: ")

conn = MySQLdb.connect(host='localhost', user='root', password='password', database='test')
cursor = conn.cursor()

sql = "SELECT * FROM users WHERE username = %s AND password = %s;"
cursor.execute(sql, (username, password))
results = cursor.fetchall()

if results:
    print("登录成功")
else:
    print("登录失败")

conn.close()
```
在这个例子中，使用 %s 作为占位符，将用户输入的内容作为元组传递给 execute 方法。MySQLdb 会自动对用户输入进行处理，防止 SQL 注入。
使用 sqlite3 进行参数化查询
```
import sqlite3

username = input("请输入用户名: ")
password = input("请输入密码: ")

conn = sqlite3.connect('test.db')
cursor = conn.cursor()

sql = "SELECT * FROM users WHERE username =? AND password =?;"
cursor.execute(sql, (username, password))
results = cursor.fetchall()

if results:
    print("登录成功")
else:
    print("登录失败")

conn.close()
```
在 sqlite3 中，使用 ? 作为占位符，同样将用户输入的内容作为元组传递给 execute 方法，实现参数化查询。
使用 SQLAlchemy 进行参数化查询
SQLAlchemy 是一个强大的 Python SQL 工具包，它也支持参数化查询。例如：
```
from sqlalchemy import create_engine, text

engine = create_engine('sqlite:///test.db')
username = input("请输入用户名: ")
password = input("请输入密码: ")

with engine.connect() as conn:
    sql = text("SELECT * FROM users WHERE username = :username AND password = :password;")
    result = conn.execute(sql, {"username": username, "password": password})
    rows = result.fetchall()

if rows:
    print("登录成功")
else:
    print("登录失败")
```
在 SQLAlchemy 中，使用 :参数名 作为占位符，将用户输入的内容作为字典传递给 execute 方法。
输入验证和过滤
除了使用参数化查询，还可以对用户输入进行验证和过滤。例如，只允许用户输入合法的字符，如字母、数字等。可以使用正则表达式来实现输入验证。
```
import re

username = input("请输入用户名: ")
password = input("请输入密码: ")

if not re.match(r'^[a-zA-Z0-9]+$', username):
    print("用户名包含非法字符")
else:
    # 进行数据库操作
    pass
```
在这个例子中，使用正则表达式 ^[a-zA-Z0-9]+$ 来验证用户名是否只包含字母和数字。如果包含非法字符，则提示用户输入不合法。
总结
SQL 注入是一个严重的安全隐患，在使用 Python 进行数据库操作时，必须采取有效的措施来防止 SQL 注入。使用参数化查询是最有效的方法，不同的数据库驱动都支持参数化查询。同时，对用户输入进行验证和过滤也是一种重要的安全措施。通过这些方法，可以大大提高应用程序的安全性，保护数据库中的数据不被非法获取和修改。