如何透過 SQL 通配符和 LIKE 語句安全地使用 Python 字串格式？

將Python 字串格式與SQL 通配符和LIKE 結合使用

使用通配符和LIKE 關鍵字的SQL 語句在使用Python 的字串格式化功能時可能會遇到挑戰。以下是一些常見的陷阱及其潛在的解決方案：

嘗試1 和嘗試2：% 使用通配符格式化字串

直接使用% 帶通配符的字串格式可能會導致錯誤。 Python 的字串格式無法辨識用於通配符的特殊字符，從而導致錯誤「索引128 處不支援格式字符''' (0x27)。」

嘗試3：連接字串

而連接字串似乎可以解決格式問題，但實際上在與MySQLdb 一起使用時會因為第158 行而產生語法錯誤「cursors.py」檔案。錯誤“query = query % db.literal(args)”表示提供的參數數量不符。

嘗試 4：使用 % 轉義序列

使用 '%%'轉義序列也可能導致與嘗試 3 相同的錯誤。

使用 Execute() 和 Query 的安全解決方案參數

為了減輕 SQL 注入攻擊的安全性問題，建議使用帶有查詢參數的execute()方法。這種方法可確保正確處理通配符並防止惡意輸入。

例如，以下程式碼示範了安全實作：

curs.execute("""SELECT tag.userId, count(user.id) as totalRows 
FROM user 
INNER JOIN tag ON user.id = tag.userId 
WHERE user.username LIKE %s""", ('%' + query + '%',))

在此範例中，將兩個參數傳遞給執行（） 方法。第一個參數包含參數化查詢，而第二個參數提供通配符格式的值作為元組。這種方法確保了帶有通配符的 SQL 語句的安全性高效執行。

以上是如何透過 SQL 通配符和 LIKE 語句安全地使用 Python 字串格式？的詳細內容。更多資訊請關注PHP中文網其他相關文章！