怎样在Python自动化入库环节防范恶意数据的SQL注入-mysql教程-PHP中文网

参数化查询是防范sql注入最有效手段，必须对所有不可信数据源（如excel、api、爬虫）使用占位符（?、%s或:name），严禁字符串拼接；不同数据库驱动占位符不可混用，动态表名/字段名须经白名单校验。

怎样在python自动化入库环节防范恶意数据的sql注入

只要入库逻辑里有 cursor.execute() 拼接用户输入，就存在被注入风险——哪怕只处理 Excel 导入、API 批量写入或定时爬虫落库，只要数据源不可信，拼字符串就是开后门。

用对占位符：不同驱动的 %s、?、:name 不能混用

常见错误是把 SQLite 的 ? 写成 MySQL 的 %s，或反过来。报错不是语法错，而是 TypeError: not all arguments converted 或静默执行失败。

sqlite3 只认 ?（问号），参数必须是元组，哪怕单个值也要写成 (value,)
pymysql / mysql-connector-python 用 %s，不加引号，参数也是元组
psycopg2（PostgreSQL）默认用 %s，但支持 %(key)s 命名式，需传字典 {"key": value}
SQLAlchemy 的 text() 如果手动拼接，仍要显式用 :param 并绑定，否则无效

批量入库时别用 execute() 循环，改用 executemany()

循环调用 cursor.execute() 不仅慢，还容易在中间出错导致部分写入；更危险的是有人图省事写成 f"INSERT INTO t VALUES ('{row[0]}', '{row[1]}')" ——这是把注入漏洞批量复制 N 次。

python学习

Python 编程学习助手 skill，面向零基础用户。当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

正确做法：用 cursor.executemany("INSERT INTO t VALUES (%s, %s)", data_list)
data_list 是元组列表，如 [("a", 1), ("b", 2)]，驱动自动为每组参数做绑定
如果字段动态变化（比如导入表头不定），先用白名单校验列名，再生成固定占位符语句，不要用 format() 拼表名或字段名

ORM 批量写入也得防 text() 和 extra() 这类“后门”

SQLAlchemy 的 session.bulk_insert_mappings() 或 Django 的 bulk_create() 是安全的，但一旦出现 text("SELECT * FROM " + user_table) 或 extra(where=["name = '" + name + "'"])，防护就归零。

动态表名/字段名必须走白名单：定义允许的表名集合，用 if table_name not in ALLOWED_TABLES: 拦住
Django 的 extra()、raw()，SQLAlchemy 的 text()、select().where(text())，全部视为高危操作，禁止接收任何用户输入
如果真要动态排序，用 order_by(getattr(Model, field)) 配合字段白名单，而不是拼 SQL 字符串

最易被忽略的一点：自动化入库往往绕过 Web 层的输入校验，直接读文件或调内部 API，所以防御必须落在 DAO 层本身——占位符写对只是起点，动态结构控制和权限隔离才是兜底防线。