Python MySQLdb: Abfrage Parameter als ein benanntes Wörterbuch

Question

Ich möchte Abfrage-Parameter an cursor.execute() Methode von MySQLdb als benanntes Wörterbuch, so dass sie Eskorted von SQL-Injektion übergeben.

Können Sie erklären, warum dies gibt KeyError:

>>>c.execute('select id from users where username=%(user)s', {'user':'bob',}) 
KeyError: 'user' 

MySQLdb Handbuch http://mysql-python.sourceforge.net/MySQLdb.html sagt:

* paramstyle

String Konstante, die die Art der Parametermarkierung eine von der Schnittstelle erwartet Formatierung. Set to 'Format' = ANSI C Druckformatcodes, z. '... WHERE Name =% s'. Wenn ein Mapping-Objekt für conn.Execute() verwendet wird, dann ist die Schnittstelle verwendet tatsächlich ‚pyformat‘ = Python erweiterten Formatcodes, z.B. '... WHERE Name =% (Name) s'. Allerdings ist die API derzeit nicht der Spezifikation von mehr als ein Stil in paramstyle erlauben *

Answer 1

Die Zeile in der Dokumentation folgen, was Sie Ihre Frage beantworten eingefügt werden:.

Parameter placeholders can only be used to insert column values. They can not be used for other parts of SQL, such as table names, statements, etc.

Answer 2

MySQLdb ermöglicht dicts als Abfrageparameter . This response zeigt alle verschiedenen Möglichkeiten, dies zu tun. Sie brauchen nur einen secuence als solche Parameter (Tupel, dict ...), um als zweiten Parameter auf „Ausführen“. Formatieren Sie Ihre Abfrage NICHT als einen einzigen Parameter für die Methode "execute" oder Sie werden SQL-Injection-Angriffen ausgesetzt sein. Siehe:

"SELECT * FROM users WHERE username = '%s'" % (user) 

denken, was passieren würde, wenn:

user = "peter;DROP TABLE users" :_(

Die andere Art und Weise befestigt ist, wie es die MySQLdb Bibliothek ermöglicht die notwendige Kontrolle zu handhaben.

Ich weiß nicht, was falsch ist, weil Ihre Frage gut für mich funktioniert:

# Connect to db 
# Open a cursor 
stmt = "SELECT * FROM users WHERE username = %(user)s" 
cursor.execute(stmt, {"user": "bob"}) 
user = cursor.fetchone() 
print user 

{'username': 'bob', 'alias': 'bobby', 'avatar': 'default', 'fullname': 'bob'} 

Können Sie uns weitere Informationen geben?