
Новые сообщения [новые:0]
Дайджест
Горячие темы
Избранное [новые:0]
Форумы
Пользователи
Статистика
Статистика нагрузки
Мод. лог
Поиск
|
|
03.01.2016, 14:46
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Добрый день. Есть такой запрос на Python: Код: python 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. Подскажите плиз новичку как защитить его от SQL инъекции ? ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
03.01.2016, 14:53
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Использовать параметры вместо подставления литералов. ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
03.01.2016, 16:01
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Dimitry Sibiryakov, я решил передавать параметры как tuple вместо " %s " % text делать: " %s " , (text,) Нормальное решение? ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
03.01.2016, 17:35
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Closius, http://initd.org/psycopg/docs/usage.html Warning Never, never, NEVER use Python string concatenation (+) or string parameters interpolation (%) to pass variables to a SQL query string. Not even at gunpoint. The correct way to pass variables in a SQL command is using the second argument of the execute() method: >>> SQL = "INSERT INTO authors (name) VALUES (%s);" # Note: no quotes >>> data = ("O'Reilly", ) >>> cur.execute(SQL, data) # Note: no % operator ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
04.01.2016, 01:52
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Roman Aka Magician, Окей я понял. А через tuple нормальное решение? я протестировал, оно все экранирует, например такойю строку ";-- оно заэкранирует ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
04.01.2016, 23:31
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Closius, Вставьте drop database для точного теста :) ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
06.01.2016, 11:26
|
|||
|---|---|---|---|
Защита от от SQL инъекции |
|||
|
#18+
ClosiusRoman Aka Magician, Окей я понял. А через tuple нормальное решение? я протестировал, оно все экранирует, например такойю строку ";-- оно заэкранирует передача параметров в запрос на самом деле как раз tupple и использует. ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
08.01.2016, 17:29
|
|||
|---|---|---|---|
Защита от от SQL инъекции |
|||
|
#18+
Closius, голая бд вряд ли где-то торчит во внешний мир... если речь про вэб дела: почитайте книгу "головоломки на PHP для хакера" там разжованы и показаны(как задачи и ответы) не только эти проблемы по взлому вэб серваков. (круглый) ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|
18.02.2016, 23:05
|
|||
|---|---|---|---|
|
|||
Защита от от SQL инъекции |
|||
|
#18+
Если книга не поможет, то можно использовать программы которые могут помочь защититься. Можно посмотреть на dataarmor.ru или greensql.com ;) ... |
|||
|
:
Нравится:
Не нравится:
|
|||
|
|
|

start [/forum/topic.php?fid=53&mobile=1&tid=1997423]: |
0ms |
get settings: |
10ms |
get forum list: |
16ms |
check forum access: |
4ms |
check topic access: |
4ms |
track hit: |
192ms |
get topic data: |
10ms |
get forum data: |
2ms |
get page messages: |
63ms |
get tp. blocked users: |
2ms |
| others: | 255ms |
| total: | 558ms |

| 0 / 0 |
