SQL 注入问题 SQLite Python

【问题标题】：SQL Injection trouble SQLite PythonSQL 注入问题 SQLite Python
【发布时间】：2015-06-15 13:49:56
【问题描述】：

如何更正此代码以减少 SQL 注入的脆弱性？这是 SQLite3

audit((cursor, connection, 0),
    "registeration error for {0}".format(username))

sql="""insert into activitylog(userid, activity, start, stop)
     values({0}, '{1}', '{2}','{3}')
    """.format(handle[2], activity, start, stop)

【问题讨论】：

标签： python sql security sqlite sql-injection

【解决方案1】：

我建议你使用 sqlite3 dbapi2 内置的参数替换。

con.execute('insert into activitylog (userid, activity, start, stop) values (?, ?, ?,?)',(handle[2], activity, start, stop))

您可以使用三引号字符串文字将其拆分为多行，就像您在代码中使用的那样。

【讨论】：