使用 Python 清理用户提供的 SQL？

Question

我正在开发一个小应用程序，它将帮助浏览由vim-logging生成的数据，我希望允许人们对数据集运行任意 SQL 查询。

我怎样才能安全地做到这一点？

例如，我想让某人输入，比如说SELECT file_type, count(*) FROM commands GROUP BY file_type，，然后将结果发送回他们的网络浏览器。

Answer 1

做这个：

cmd = "update people set name=%s where id=%s"
curs.execute(cmd, (name, id))

请注意，占位符语法取决于您使用的数据库。

来源和更多信息在这里：

http://bobby-tables.com/python.html