Python最佳实践和最安全的方法来连接MySQL和执行查询

Question

在mysql上运行查询的最安全方法是什么，我知道MySQL和SQL注入涉及的危险。

但是，我不知道如何运行查询以防止注入其他用户（Web客户端）可以操纵的变量。我曾经编写自己的转义函数，但显然这是“未完成”的。

我应该使用什么，以及如何使用它来通过python在MySQL数据库上安全地进行查询和插入，而又不会冒mysql注入的风险？

Answer 1

为避免注入，请使用executewith
%s代替每个变量，然后通过列表或元组传递值作为的第二个参数execute。这是文档中的示例：

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

请注意，这是使用 逗号 而不是 ％ （这将是直接字符串替换，不会转义）。 不要这样做 ：

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

此外，'%s'如果参数是字符串，则不需要在位置保持器（）周围加上引号。