字符串拼接存在的SQL注入隐患

前面博文写到用pymysql连接MySQL数据库&＃xff1a;

#!/usr/bin/env python
# -*- coding:utf-8 -*-
import pymysql # 创建连接
conn &＃61; pymysql.connect(host&＃61;&＃39;127.0.0.1&＃39;, port&＃61;3306, user&＃61;&＃39;root&＃39;, passwd&＃61;&＃39;123&＃39;, db&＃61;&＃39;t1&＃39;)
# 创建游标&＃xff08;游标是用来帮你获取数据的&＃xff09;
cursor &＃61; conn.cursor() # 执行SQL&＃xff0c;并返回收影响行数
effect_row &＃61; cursor.execute("update hosts set host &＃61; &＃39;1.1.1.2&＃39;") # 执行SQL&＃xff0c;并返回受影响行数
#effect_row &＃61; cursor.execute("update hosts set host &＃61; &＃39;1.1.1.2&＃39; where nid > %s", (1,))
#effect_row &＃61; cursor.execute("select username from user_info where username &＃61; &＃39;%s&＃39; password &＃61; &＃39;%s&＃39;" % (name,pwd)) # 执行SQL&＃xff0c;并返回受影响行数&＃xff08;插入多个数据&＃xff09;
#effect_row &＃61; cursor.executemany("insert into hosts(host,color_id)values(%s,%s)", [("1.1.1.11",1),("1.1.1.11",2)]) # 提交&＃xff0c;不然无法保存新建或者修改的数据
conn.commit() # 关闭游标
cursor.close()
# 关闭连接
conn.close()

pymysql使用的是cuosor.execute来执行SQL语句&＃xff0c;我们可能会使用字符串拼接的方式来执行SQL语句&＃xff0c;例如&＃xff1a;

temp &＃61; "select name from user_info where username &＃61; &＃39;%s&＃39; password &＃61; &＃39;%s&＃39; " % (username,password)effect_row &＃61; cursor.execute(temp)#但是如此使用就会引起SQL注入&＃xff0c;例如在用户提交表单时&＃xff0c;在用户名这一栏填入anything &＃39; or 1&＃61;1 -- d &＃xff0c;那么就可以登录到系统&＃xff0c;因为单引号被识别为账号这个字符串的
#结束&＃xff0c;那么又写入了一个或的条件判定&＃xff0c;1恒等于1&＃xff0c;必定成立。--在SQL中是注释&＃xff0c;注释掉了账号之后的所有信息&＃xff0c;所以能够‘骗’过系统&＃xff0c;登录成功。更严重的是甚至可以通
#过SQL注入对数据库进行各种操作&＃xff0c;后果不堪设想。

解决方法&＃xff1a;使用pymysql自身的字符串拼接功能&＃xff0c;不要自行拼接
需要注意的是&＃xff0c;使用excute进行字符串的拼接&＃xff0c;%s不要带引号
cursor.execute("INSERT INTO interface(name,ip,mask,gateway,status) VALUE (%s,%s,%s,%s,%s)",(i[&＃39;name&＃39;], i[&＃39;IP&＃39;], i[&＃39;NETMASK&＃39;], i[&＃39;GATEWAY&＃39;], i[&＃39;STATUS&＃39;]))