2020-12-24 09:59发布
Django中避免sql注入的方法：1、对用户的输入进行校验；2、不要使用动态拼装sql；3、不要把机密信息直接存放；4、应用的异常信息应该给出尽可能少的提示；5、利用Dajngo的ORM来有效避免sql注入。什么是SQL注入？所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。他通过传递一些恶意的参数来破坏原有的sql语句以便达到自己的目的。当然sql注入远远没有这么简单，我们现在讲到的只是冰山一角。那么如何防御sql注入呢？1. 永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双'-'进行转换等。2. 永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。比如：3. 永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。4. 不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。5. 应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装。总结：1. 在网页中利用sql语句进行注入攻击，网页获取用户输入参数，但有些恶意用户利用特殊sql语句上传参数，后端获取参数若不对其正确性合法性进行判断，则有可能对数据库造成危害2. get和post上传数据的时候，做好对参数的检查3. 利用Dajngo的ORM可有效避免sql注入，因为Django已经对特殊字符进行转义
SQL注入是所有网站建设都应该注意防范的东西，使用Django当然也不例外。下面介绍几个Django中防范SQL注入的方案。
方案一
总是使用Django自带的数据库API。它会根据你所使用的数据库服务器（例如PostSQL或者MySQL）的转换规则，自动转义特殊的SQL参数。这被运用到了整个Django的数据库API中，只有一些例外：
传给 extra() 方法的 where 参数。 (参考 附录 C。) 这个参数故意设计成可以接受原始的SQL。
使用底层数据库API的查询。
方案二
看下面的Python代码：
from django.db import connection
def user_contacts(request):
user = request.GET['username']
sql = "SELECT * FROM user_contacts WHERE username = %s"
cursor = connection.cursor()
cursor.execute(sql, [user])
# ... do something with the results
请注意在cursor.execute() 的SQL语句中使用“%s”，而不要在SQL内直接添加参数。 如果你使用这项技术，数据库基础库将会自动添加引号，同时在必要的情况下转意你的参数。
Django是一个开放源代码的Web应用框架，由Python写成。采用了MVT的框架模式，即模型M，视图V和模板T。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS(内容管理系统)软件。并于2005年7月在BSD许可证下发布。这套框架是以比...
使用类似pymysql的第三方模块,在Python代码中嵌入SQL语句,可以直接访问数据库。对于轻量级的SQLite,Django和Python原生支持,连第三方模块都不需要就可以访问。
FlaskFlask确实很轻，不愧是Micro Framework，从Django转向Flask的开发者一定会如此感慨，除非二者均为深入使用过Flask自由、灵活，可扩展性强，第三方库的选择面广，开发时可以结合自己最喜欢用的轮子，也能结合最流行最强大的Python库入门简单，即便没有多...
打开 Linux 或 MacOS 的 Terminal （终端）直接在 终端中输入windows 快捷键 win + R，输入 cmd，直接在 cmd 上输入1、新建一个项目django-admin.py startproject 项目名1以下命令要先进入项目目录下才能执行：cd 项目名2、新建app (一个项目可以有多个app...
Django的默认数据库是sqlite3
中间件顾名思义，是介于request与response处理之间的一道处理过程，相对比较轻量级，并且在全局上改变django的输入与输出。因为改变的是全局，所以需要谨慎实用，用不好会影响到性能...
项目主要页面介绍1.首页2.注册3.登录2.项目开发模式开发模式前后端不分离后端框架Django+Jinja2模板引擎前端框架Vue.js3.准备项目代码仓库源码托管网站1、码云（https://gitee.com/）2、创建源码远程仓库：website3、克隆项目代码仓库新建文件夹下载githttps:...
from django.http import FileResponsefrom django.utils.encoding import escape_uri_path def build_download_response(filepath, filename): 构建下载文件的文件头 :param filepath: 文件路径 :param filenam...
Django中的中间件是一个轻量级、底层的插件系统，可以介入Django的请求和响应处理过程，修改Django的输入或输出。中间件的设计为开发者提供了一种无侵入式的开发方式，增强了Django框架的健壮性。我们可以使用中间件，在Django处理视图的不同阶段对输入或输出...
django现在在生产环境用得还是比较多的，但是只能说数量比较多，质量很差；意思就是，越大型的项目越不会选django，因为它封装得太好，不够灵活，一般快速上马项目可以，但是长期维护下来很难受一般如果有开发团队的都选flask和tornado...
什么是 middleware什么时候使用 middleware我们写 middleware 必须要记住的东西写一些 middlewares 来理解中间件的工作过程和要点什么是 middlewareMiddlewares 是修改 Django request 或者 response 对象的钩子. 下面是Django 文档中的一段描述。Middlew...
客户端与服务端交互（知识点）浏览器就是客户端服务端开放端口和连接即可客户端服务器代码实现# -*- coding: utf-8 -*-__author__ = 'HeYang'__time__ = '2018/6/7 2:57'import socket sock = socket.socket()sock.bind(('1...
Django中间件有很多，入session、csrf、contexttype等，能力强的朋友还可以自己写中间件。
django中间件主要有两个作用1·中间件是介于request 和 response 处理之间的一道处理过程，用于全局范围改变Django的输入和输出，简单的来说中间件是帮助我们在视图函数指向之前和执行之后都可以做一些额外的操作2·Django项目中默认启用了csrf保护，每次请求...
中间件 Django中的中间件是一个轻量级、底层的插件系统，可以介入Django的请求和响应处理过程，修改Django的输入或输出。中间件的设计为开发者提供了一种无侵入式的开发方式，增强了Django框架的健壮性。中间件Django中的中间件是一个轻量级、底层的插件系统...
最多设置5个标签!
{var%20f='http://v.t.sina.com.cn/share/share.php?appkey=1515056452',u=z||d.location,p=['&url=',e(u),'&title=',e(t||d.title),'&source=',e(r),'&sourceUrl=',e(l),'&content=',c||'gb2312','&pic=',e(p||'')].join('');function%20a(){if(!window.open([f,p].join(''),'mb',['toolbar=0,status=0,resizable=1,width=440,height=430,left=',(s.width-440)/2,',top=',(s.height-430)/2].join('')))u.href=[f,p].join('');};if(/Firefox/.test(navigator.userAgent))setTimeout(a,0);else%20a();})(screen,document,encodeURIComponent,'','','/static/images/logo.png', '推荐 野的像风 的问题《【Python基础】django如何防止sql注入》','http://www.shouhuola.com/q-32123.html','页面编码gb2312|utf-8默认gb2312'));){kind=link}
Django中避免sql注入的方法：1、对用户的输入进行校验；2、不要使用动态拼装sql；3、不要把机密信息直接存放；4、应用的异常信息应该给出尽可能少的提示；5、利用Dajngo的ORM来有效避免sql注入。
什么是SQL注入？
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。
他通过传递一些恶意的参数来破坏原有的sql语句以便达到自己的目的。当然sql注入远远没有这么简单，我们现在讲到的只是冰山一角。那么如何防御sql注入呢？
1. 永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双'-'进行转换等。
2. 永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。比如：
3. 永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4. 不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5. 应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装。
总结：
1. 在网页中利用sql语句进行注入攻击，网页获取用户输入参数，但有些恶意用户利用特殊sql语句上传参数，后端获取参数若不对其正确性合法性进行判断，则有可能对数据库造成危害
2. get和post上传数据的时候，做好对参数的检查
3. 利用Dajngo的ORM可有效避免sql注入，因为Django已经对特殊字符进行转义
SQL注入是所有网站建设都应该注意防范的东西，使用Django当然也不例外。下面介绍几个Django中防范SQL注入的方案。
方案一
总是使用Django自带的数据库API。它会根据你所使用的数据库服务器（例如PostSQL或者MySQL）的转换规则，自动转义特殊的SQL参数。这被运用到了整个Django的数据库API中，只有一些例外：
传给 extra() 方法的 where 参数。 (参考 附录 C。) 这个参数故意设计成可以接受原始的SQL。
使用底层数据库API的查询。
方案二
看下面的Python代码：
from django.db import connection
def user_contacts(request):
user = request.GET['username']
sql = "SELECT * FROM user_contacts WHERE username = %s"
cursor = connection.cursor()
cursor.execute(sql, [user])
# ... do something with the results
请注意在cursor.execute() 的SQL语句中使用“%s”，而不要在SQL内直接添加参数。 如果你使用这项技术，数据库基础库将会自动添加引号，同时在必要的情况下转意你的参数。
相关问题推荐
Django是一个开放源代码的Web应用框架，由Python写成。采用了MVT的框架模式，即模型M，视图V和模板T。它最初是被开发来用于管理劳伦斯出版集团旗下的一些以新闻内容为主的网站的，即是CMS(内容管理系统)软件。并于2005年7月在BSD许可证下发布。这套框架是以比...
使用类似pymysql的第三方模块,在Python代码中嵌入SQL语句,可以直接访问数据库。对于轻量级的SQLite,Django和Python原生支持,连第三方模块都不需要就可以访问。
FlaskFlask确实很轻，不愧是Micro Framework，从Django转向Flask的开发者一定会如此感慨，除非二者均为深入使用过Flask自由、灵活，可扩展性强，第三方库的选择面广，开发时可以结合自己最喜欢用的轮子，也能结合最流行最强大的Python库入门简单，即便没有多...
打开 Linux 或 MacOS 的 Terminal （终端）直接在 终端中输入windows 快捷键 win + R，输入 cmd，直接在 cmd 上输入1、新建一个项目django-admin.py startproject 项目名1以下命令要先进入项目目录下才能执行：cd 项目名2、新建app (一个项目可以有多个app...
Django的默认数据库是sqlite3
中间件顾名思义，是介于request与response处理之间的一道处理过程，相对比较轻量级，并且在全局上改变django的输入与输出。因为改变的是全局，所以需要谨慎实用，用不好会影响到性能...
项目主要页面介绍1.首页2.注册3.登录2.项目开发模式开发模式前后端不分离后端框架Django+Jinja2模板引擎前端框架Vue.js3.准备项目代码仓库源码托管网站1、码云（https://gitee.com/）2、创建源码远程仓库：website3、克隆项目代码仓库新建文件夹下载githttps:...
from django.http import FileResponsefrom django.utils.encoding import escape_uri_path def build_download_response(filepath, filename): 构建下载文件的文件头 :param filepath: 文件路径 :param filenam...
Django中的中间件是一个轻量级、底层的插件系统，可以介入Django的请求和响应处理过程，修改Django的输入或输出。中间件的设计为开发者提供了一种无侵入式的开发方式，增强了Django框架的健壮性。我们可以使用中间件，在Django处理视图的不同阶段对输入或输出...
django现在在生产环境用得还是比较多的，但是只能说数量比较多，质量很差；意思就是，越大型的项目越不会选django，因为它封装得太好，不够灵活，一般快速上马项目可以，但是长期维护下来很难受一般如果有开发团队的都选flask和tornado...
什么是 middleware什么时候使用 middleware我们写 middleware 必须要记住的东西写一些 middlewares 来理解中间件的工作过程和要点什么是 middlewareMiddlewares 是修改 Django request 或者 response 对象的钩子. 下面是Django 文档中的一段描述。Middlew...
客户端与服务端交互（知识点）浏览器就是客户端服务端开放端口和连接即可客户端服务器代码实现# -*- coding: utf-8 -*-__author__ = 'HeYang'__time__ = '2018/6/7 2:57'import socket sock = socket.socket()sock.bind(('1...
Django中间件有很多，入session、csrf、contexttype等，能力强的朋友还可以自己写中间件。
django中间件主要有两个作用1·中间件是介于request 和 response 处理之间的一道处理过程，用于全局范围改变Django的输入和输出，简单的来说中间件是帮助我们在视图函数指向之前和执行之后都可以做一些额外的操作2·Django项目中默认启用了csrf保护，每次请求...
中间件 Django中的中间件是一个轻量级、底层的插件系统，可以介入Django的请求和响应处理过程，修改Django的输入或输出。中间件的设计为开发者提供了一种无侵入式的开发方式，增强了Django框架的健壮性。中间件Django中的中间件是一个轻量级、底层的插件系统...