IIASK插件库

如何使用pymysql的execute方法避免SQL注入攻击？

更新时间

一、SQL注入的严重性与常见场景

在使用Python操作MySQL数据库时，pymysql.execute()方法是最常用的SQL执行接口。许多开发者容易犯的一个致命错误是直接拼接SQL字符串：

# 危险示例：字符串拼接
sql = "SELECT * FROM users WHERE username = '" + user_input + "'"
cursor.execute(sql)

这种写法会形成典型的注入漏洞，攻击者可以输入"admin' -- "这样的特殊字符注释掉后续查询条件，甚至通过UNION语句获取敏感数据。

二、参数化查询的工作原理

pymysql提供的预处理语句机制通过以下步骤防御注入：

  1. SQL语句模板与参数分离传输
  2. 数据库引擎先编译语句结构
  3. 参数值作为纯数据处理
  4. 自动转义特殊字符

正确用法应使用占位符语法：

# 安全示例：参数化查询
sql = "SELECT * FROM users WHERE username = %s"
cursor.execute(sql, (user_input,))

三、进阶防御策略

1. 输入验证白名单

结合正则表达式验证输入格式：

import re
if not re.match(r'^[a-zA-Z0-9_]{4,20}$', username):
    raise ValueError("Invalid username format")

2. 最小权限原则

数据库账户应配置：

  • 仅授予必要表的CRUD权限
  • 禁止DROP/ALTER等高危操作
  • 使用只读账户处理查询请求

3. ORM层防护

使用SQLAlchemy等ORM工具时，其内置的查询构建器会自动处理参数转义：

result = session.query(User).filter(User.username == user_input)

四、特殊场景处理

动态表名/列名

对于无法参数化的元数据操作，应采用白名单验证：

valid_tables = {'users', 'products'}
if table_name not in valid_tables:
    raise ValueError("Invalid table name")

sql = f"SELECT * FROM `{table_name}`"  # 注意反引号转义

批量插入优化

使用executemany()提升批量操作效率：

data = [(1, 'Alice'), (2, 'Bob')]
cursor.executemany("INSERT INTO users VALUES (%s, %s)", data)

五、监控与审计

建议部署：

  • SQL日志审计系统
  • 异常查询实时告警
  • 定期漏洞扫描