如何在 Python 中检查和执行 SQL 语句

Question

我在 Python 中使用 MySQLdb。有人告诉我，要正确创建 SQL 语句并避免 SQL 注入攻击，我应该编写如下代码：

sql = "insert into table VALUES ( %s, %s, %s )"
args = var1, var2, var3
cursor.execute( sql, args )

或者：

cursor.execute( "insert into table VALUES ( %s, %s, %s )", var1, var2, var3 )

甚至这个（这可能是错误的）：

header = ( 'id', 'first_name', 'last_name' )
values = ( '12', 'bob'       , 'smith'     )
cursor.execute( "insert into table ( %s ) values ( %s )", ( header + values ) )

当我用 PHP 编程时，我通常会将整个 SQL 语句存储为一个长字符串，然后执行该字符串。类似于（使用 PostgreSQL）：

$id         = db_prep_string( pg_escape_string( $id         ) );
$first_name = db_prep_string( pg_escape_string( $first_name ) );
$last_name  = db_prep_string( pg_escape_string( $last_name  ) );

$query = "insert into table ( id, first_name, last_name ) values ( $id, $first_name, $last_name )"

$result = pg_query( $con, $query );
$retval = pg_fetch_array( $result );

db_prep_string 在哪里

function db_prep_string( $value ) {
    if( 
        !isset( $value ) ||
        (is_null($value)) ||
        preg_match( '/^\s+$/', $value ) ||
        ( $value == '' )
     ) {
    $value = 'null';
}
else {
    $value = "'$value'";
}
    return $value;
}

然后进行调试，我可以简单地回显$query 以查看整个 SQL 语句。我可以用 Python 做类似的事情吗？换句话说，我可以将safe SQL语句存储为字符串，打印出来调试，然后执行吗？

我想做这样的事情：

id         = prevent_sql_injection_string( id         )
first_name = prevent_sql_injection_string( first_name )
last_name  = prevent_sql_injection_string( last_name  )

sql  = "insert into table ( id, first_name, last_name ) values "
sql += id         + ", "
sql += first_name + ", "
sql += last_name

print sql #for debugging

cursor.execute( sql )        

如果没有，那我如何在 Python 中查看完整的 SQL 语句？

额外问题：如何使用 Python 在 SQL 语句中输入空值？

Answer 1

查看Python Database API specification，因为它回答了您的一些问题。例如，对于 NULL 值，API 规范是这样说的：

SQL NULL 值由 Python None 单例表示 输入输出。

在参数样式方面，规范为实现者提供了多个选项，包括 MySQLdb 使用的'format' 选项。

如果您想查看 MySQLdb 将对您的数据库执行什么查询，您可以稍微作弊并使用连接 literal(...) 方法。例如：

>>> import MySQLdb
>>> db = MySQLdb.connect(...)
>>> print "insert into table VALUES ( %s, %s, %s )" % db.literal((5, "ab'c", None))
insert into table VALUES ( 5, 'ab\\'c', NULL )

但是db.literal(...) 方法并不真正打算供 MySQLdb 模块的客户端使用，所以不要将它放在生产代码中。

另外，请注意MySQLdb documentation 对参数有这样的说法：

参数占位符只能用于插入列值。它们不能用于 SQL 的其他部分，例如表名、语句等。

因此，请注意不要在插入语句中使用参数占位符作为表的列名。

Answer 2

您想要执行的代码是有效的。您可以执行以下操作：

def prevent_sql_injection_string( value ):
    if (value is None or str(value).strip()=''):
        value = 'null'
    else:
        value = "'%s'" % str(value)
    return value    

# convert inputs
id         = prevent_sql_injection_string( id         )
first_name = prevent_sql_injection_string( first_name )
last_name  = prevent_sql_injection_string( last_name  )

# construct query
# Note: "some formatted string" % (value,value,value) syntax is like doing
# printf("some formatted string",value,value,value)
sql = "insert into table (id, first_name, last_name ) values (%s, %s, %s)" 
         % (id,first_name,last_name)

# print
print sql

# execute
cursor.execute(sql)