Python：连接MySQL和执行查询的最佳实践和最安全的方式

Question

在MySQL上运行查询最安全的方法是什么？我意识到MySQL和SQL注入所涉及的危险

但是，我不知道应该如何运行查询以防止注入其他用户（WebClient）可以操作的变量。我曾经写过我自己的转义函数，但显然这是“没有完成”

我应该使用什么以及如何使用它通过python在MySQL数据库上安全地查询和执行插入操作，而不冒MySQL注入的风险

Answer 1

如果您使用的是mysqldb，那么可以使用内置的escape_string函数。像这样

sql = "SELECT spam FROM eggs WHERE lumberjack = '" + MySQLdb.escape_string(str(lumberjack)) + "';"
cursor.execute(sql)

我总是更喜欢使用数据库连接器的转义功能——它按预期工作，手动编写转义功能本身存在安全风险