SQL注入

Question

防Sql注入的话，sql语句参数化不行吗？就是 select * from user where id=?id。难道python不行吗

Answer 1

bobby 2019-09-17 11:19:42

pymysql这种底层库为了解决sql注入攻击的问题提供了参数化%s这种方式防止sql注入，但是即使这样因为可以自己直接写sql语句。所以如果开发者经验不足也容易写出被注入攻击的方法