我如何知道我的 SQL 查询是否暴露给 SQL 注入

Question

我有一个原始的 SQL 查询：

f"SELECT FIELDS(ALL) from xxxx WHERE CreatedDate >= {start_time}"

我想让该查询免受 sql 注入攻击，但我不知道我怎么知道我做对了。 这是应该安全的新版本：

f"SELECT FIELDS(ALL) from xxxx WHERE CreatedDate >= %s" % (start_time,)

我在 API 调用中使用它。查询本身将在另一方（第三方）中执行。我想在 api 调用中将查询作为参数发送 我想得到一些关于这个问题的提示 谢谢！

Answer 1

任何时候您在代码中直接创建字符串时，都会将自己暴露在 SQL 注入中。您希望将数据处理传递给 DBMS。使用像SQLAlchemy 这样的 ORM 将处理很多问题（如果您使用 ORM 并且不直接传递您的 SQL）。大多数用于连接数据库的库都遵循 python 的DB api 标准。由于您没有提及您使用的是什么，我将使用 pyodbc 作为示例。

复制自docs：

插入数据 要插入数据，请将插入 SQL 传递给 Cursor execute()，以及任何必要的参数：

cursor.execute("insert into products(id, name) values ('pyodbc', 'awesome library')")
cnxn.commit()

或者，参数化：

cursor.execute("insert into products(id, name) values (?, ?)", 'pyodbc', 'awesome library')
cnxn.commit()

注意参数化版本。这就是你想要的。这里 pyodbc 将您的查询和数据都交给 DBMS。 DBMS 将处理数据清理。这种形式称为 qmark 表示法（注意问号）。还有一些其他符号，但重要的部分是您使用参数化并将数据与查询分开传递。对于大多数库，这看起来像：

cursor.execute(query_string_with_qmark_notation, data_or_tuple_of_data)