Най-добрата практика на Python и най-сигурният за свързване с MySQL и изпълнение на заявки

За да избегнете инжекции, използвайте execute с %s на мястото на всяка променлива, след което предайте стойността чрез списък или кортеж като втори параметър на execute. Ето един пример от документацията:

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

Имайте предвид, че тук се използва запетая, а не % (което би било директно заместване на низ, а не екранирано). Не правете това:

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

Освен това не са ви необходими кавичките около титуляра на позиция ('%s'), ако параметърът е низ.

Като разширение на отговора на Bruno, вашата MySQL клиентска библиотека може да поддържа всеки от няколко различни формата за указване на наименувани параметри. От PEP 249 (DB-API) можете да напишете вашите заявки като:

"qmark"

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = ?", (lumberjack,))

"цифров"

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = :1", (lumberjack,))

'на име'

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = :jack", {'jack': lumberjack})

"формат"

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = %s", (lumberjack,))

'pyformat'

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = %(jack)s", {'jack': lumberjack})

Можете да видите коя клиентска библиотека поддържа, като погледнете променливата на ниво модул paramstyle:

>>> clientlibrary.paramstyle
'pyformat'

Всяка от горните опции трябва да направи правилното нещо по отношение на обработката на вашите евентуално несигурни данни. Както посочи Бруно, моля, никога не се опитвайте сами да вмъквате параметри. Често използваните клиентски библиотеки са много по-добри в правилната обработка на данни, отколкото ние, обикновените смъртни, някога ще бъдем.

Ако използвате mysqldb, можете да използвате вградената функция escape_string. Като този.

sql = "SELECT spam FROM eggs WHERE lumberjack = '" + MySQLdb.escape_string(str(lumberjack)) + "';"
cursor.execute(sql)

Винаги предпочитам да използвам функцията за изход на конектора на базата данни - тя работи по предназначение и ръчното кодиране на функции за изход сами представлява риск за сигурността.