Bảo vệ chống lại SQL injection trong python

Question

Tôi có một số mã bằng Python đặt giá trị char (80) trong một sqlite DB.

Chuỗi được lấy trực tiếp từ người dùng thông qua trường nhập văn bản và được gửi trở lại máy chủ bằng phương thức POST trong cấu trúc JSON.

Ở phía máy chủ, tôi hiện đang chuyển chuỗi tới phương thức gọi hoạt động SQL UPDATE.

Nó hoạt động, nhưng tôi biết nó không an toàn chút nào.

Tôi hy vọng rằng phía máy khách không an toàn, vì vậy mọi bảo vệ sẽ được đặt ở phía máy chủ. Tôi có thể làm gì để bảo đảm hoạt động UPDATE một lần nữa SQL injection?

Một chức năng sẽ "trích dẫn" văn bản để không nhầm lẫn giữa trình phân tích cú pháp SQL là những gì tôi đang tìm kiếm. Tôi mong đợi chức năng như vậy tồn tại nhưng không thể tìm thấy nó.

Edit: Dưới đây là mã hiện tại của tôi thiết lập các char tên trường label:

def setLabel(self, userId, refId, label): 
    self._db.cursor().execute(""" 
     UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", (label, userId, refId)) 
    self._db.commit() 

Answer 1

Từ các tài liệu:

con.execute("insert into person(firstname) values (?)", ("Joe",)) 

này thoát "Joe", vì vậy những gì bạn muốn là

con.execute("insert into person(firstname) values (?)", (firstname_from_client,)) 

Answer 2

noooo ... SỬ DỤNG BIND BIẾN! Đó là những gì họ đang có. Xem this

Tên khác cho kỹ thuật là parameterized sql (Tôi nghĩ rằng "biến liên kết" có thể là tên được sử dụng với Oracle cụ thể).

Answer 3

.execute() của DB-API hỗ trợ thay thế thông số sẽ đảm bảo thoát cho bạn, được đề cập ở gần đầu tài liệu; http://docs.python.org/library/sqlite3.html phía trên Không bao giờ thực hiện việc này - không an toàn.