Лучшие практики Python и самые безопасные для подключения к MySQL и выполнения запросов

Чтобы избежать инъекций, используйте execute с %s вместо каждой переменной, затем передайте значение через список или кортеж в качестве второго параметра execute. Вот пример из документации:

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

Обратите внимание, что здесь используется запятая, а не % (это была бы прямая подстановка строки, без экранирования). Не делайте этого:

c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""" % (max_price,))

Кроме того, вам не нужны кавычки вокруг держателя позиции ('%s'), если параметр является строкой.

В качестве расширения ответа Бруно ваша клиентская библиотека MySQL может поддерживать любой из нескольких различных форматов для указания именованных параметров. Из PEP 249 (DB-API) вы можете написать свои запросы, например:

qmark

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = ?", (lumberjack,))

'числовой'

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = :1", (lumberjack,))

'по имени'

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = :jack", {'jack': lumberjack})

'формат'

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = %s", (lumberjack,))

"пиформат"

>>> cursor.execute("SELECT spam FROM eggs WHERE lumberjack = %(jack)s", {'jack': lumberjack})

Вы можете увидеть, что поддерживает ваша клиентская библиотека, посмотрев на переменную уровня модуля paramstyle:

>>> clientlibrary.paramstyle
'pyformat'

Любой из вышеперечисленных вариантов должен действовать правильно в отношении обработки ваших, возможно, небезопасных данных. Как заметил Бруно, никогда не пытайтесь самостоятельно вставлять параметры. Часто используемые клиентские библиотеки обрабатывают данные намного лучше, чем мы, простые смертные.

Если вы используете mysqldb, вы можете использовать встроенную функцию escape_string. Нравится.

sql = "SELECT spam FROM eggs WHERE lumberjack = '" + MySQLdb.escape_string(str(lumberjack)) + "';"
cursor.execute(sql)

Я всегда предпочитаю использовать escape-функцию соединителя базы данных - она ​​работает, как задумано, и ручное кодирование escape-функций самостоятельно представляет собой угрозу безопасности.