如何安全使用WHERE IN语句防止SQL注入？

安全处理 IN 查询：了解 WHERE IN 语句

使用数据库查询时，根据一组值检索特定记录是常见要求。 WHERE IN 语句提供了一种有效的方法来实现此目的。

数据库架构和意图

考虑以下数据库table:

CREATE TABLE IF NOT EXISTS tab (_id integer PRIMARY KEY AUTOINCREMENT, obj text NOT NULL);

您打算检索 obj 所在的记录列值与变量列表匹配，如果处理不当，可能容易受到 SQL 注入的攻击。

第一种方法：手动方法

尝试使用手动构造查询list_of_vars 和 join() 生成占位符字符串可能会因数量不匹配而引发错误

statement = "SELECT * FROM tab WHERE obj IN (?);"
c.execute(statement, "'"+"','".join(list_of_vars)+"'")

推荐方法：参数化查询

要安全地执行 IN 查询，请使用参数占位符 (?) 并将变量列表绑定为参数。使用 format 方法创建语句以生成适当数量的占位符：

statement = "SELECT * FROM tab WHERE obj IN ({0})".format(', '.join(['?'] * len(list_of_vars)))
c.execute(statement, list_of_vars)

通过传递 list_of_vars 作为参数值列表，可以确保正确的绑定并防止 SQL 注入漏洞。

以上是如何安全使用WHERE IN语句防止SQL注入？的详细内容。更多信息请关注PHP中文网其他相关文章！