Python Escape MySQL

在 Python 中，我们通常使用 MySQL Connector/Python 来连接和操作 MySQL 数据库。然而，在进行数据库操作时，我们需要注意一些基本的事项，以避免注入攻击和其他安全问题。

1. 变量传值

当我们通过 SQL 语句向 MySQL 数据库中传递变量时，必须使用参数化查询，而不是直接拼接字符串。这可以防止 SQL 注入攻击，而参数化查询将使用占位符代替变量，因此不需要将变量直接放入 SQL 查询中。

参数化查询的 Python 语法如下：

import mysql.connector

cnx = mysql.connector.connect(user='user', password='password',
                              host='localhost',
                              database='database')
cursor = cnx.cursor()

query = 'SELECT * FROM table WHERE column1 = %s AND column2 = %s'
values = ('value1', 'value2')
cursor.execute(query, values)

rows = cursor.fetchall()

在这个示例中，我们使用了占位符 %s 来代替变量，而变量 values 是一个元组，其值被传递给 cursor.execute() 方法。

2. 转义字符

在某些情况下，即使使用参数化查询也无法将变量直接传递给 MySQL 查询。例如，在我们需要将 SQL 查询中的字符串值从代码中传递给数据库时，我们需要使用转义字符。

在 Python 中，我们可以使用 MySQL Connector/Python 的 mysql.connector.conversion.MySQLConverter.escape() 方法来转义字符串。该方法将返回转义后的字符串，可以直接用于 SQL 查询。

import mysql.connector.conversion

value = "escaped' value"
escaped_value = mysql.connector.conversion.MySQLConverter().escape(value)
query = f"INSERT INTO table (column) VALUES ('{escaped_value}')"

cursor.execute(query)

在这个示例中，我们使用转义字符来转义字符串 escaped' value，然后将其插入到 MySQL 数据库中。

3. SQLAlchemy

除了 MySQL Connector/Python，我们还可以使用 SQLAlchemy 库来连接和操作 MySQL 数据库。 相比 MySQL Connector/Python，SQLAlchemy 更易于使用，并提供了更多的 SQL 控制选项，以及内置的数据模型映射和关系管理功能。

在使用 SQLAlchemy 时，我们可以使用 ORM 模型来代替 SQL 语句，这样就不必担心 SQL 注入攻击。ORM 将自动处理 SQL 查询，并确保已转义和安全使用变量。

from sqlalchemy import create_engine, Column, String
from sqlalchemy.orm import sessionmaker
from sqlalchemy.ext.declarative import declarative_base

# create engine
engine = create_engine('mysql+mysqlconnector://user:password@localhost/database?charset=utf8mb4',
                       encoding='utf-8', pool_recycle=3600)

Base = declarative_base()


# define table model
class Table(Base):
    __tablename__ = 'table'

    id = Column(String(64), primary_key=True)
    name = Column(String(64))

在这个示例中，我们定义了一个基于 SQLAlchemy 的数据模型 Table，在使用该模型时，我们可以简单地通过 session.query(Table).filter_by(name='value').all() 来执行查询。

这就是 Python 中如何避免 SQL 注入攻击的简单介绍。记住，使用参数化查询和转义字符是确保 MySQL 数据库安全的基本要素，而使用 SQLAlchemy 可以更方便地使用 ORM 模型进行操作。