python中sql注入

Posted 2020-09-28

cHaru前连接数据库操作

#coding:utf-8
from pymysql import connect
#连接数据库
conn= connect(
        host=‘localhost‘,
        port = 3306,
        user=‘root‘,
        passwd=‘root‘,
        db =‘ca‘,
        )
#创建操作游标,创建了mysql的操作链接
a=conn.cursor()
#设置字符集为Utf-8
a.execute(‘set names utf8‘)
方法一
format方式
sql=‘insert into tb1(name,age,phone) values({0},{1},{2})‘.format("7",54,"1566456465")
a.execute(sql)

方法一
format方式
sql=‘insert into tb1(name,age,phone) values({0},{1},{2})‘.format("7",54,"1566456465")
a.execute(sql)

方法二
原始的替换
sql=‘insert into tb1(name,age,phone) values(%s,%s,%s)‘%("7","54","1555566")
a.execute(sql)

方法三
使用execute
sql=‘insert into tb1(name,age,phone) values(%s,%s,%s)‘
parm=(7,54,1566456465)
a.execute(sql,parm)

注意在execute函数中，全是以parm字符串替代sql中的改变的量