Python中如何防止SQL注入？pymysql或其他数据库框架推荐

帖子回复：

防SQL注入的核心就一条：永远别用字符串拼接SQL，必须用参数化查询。

以pymysql为例，看对比：

❌ 错误做法（字符串拼接）：

user_input = "admin' OR '1'='1"
sql = f"SELECT * FROM users WHERE username = '{user_input}'"
cursor.execute(sql)  # 直接注入成功

✅ 正确做法（参数化查询）：

user_input = "admin' OR '1'='1"
sql = "SELECT * FROM users WHERE username = %s"
cursor.execute(sql, (user_input,))  # 输入会被安全转义

关键点：

• pymysql用%s作占位符（即使非字符串类型）
• 参数必须是元组/列表：(value,)或[value]
• 框架会自动处理转义和类型转换

其他框架示例：

SQLAlchemy：

from sqlalchemy import text
stmt = text("SELECT * FROM users WHERE username = :name")
result = conn.execute(stmt, {"name": user_input})

psycopg2（PostgreSQL）：

cursor.execute("SELECT * FROM users WHERE username = %s", (user_input,))

sqlite3：

cursor.execute("SELECT * FROM users WHERE username = ?", (user_input,))

框架推荐：

• 简单项目：直接用pymysql/psycopg2 + 参数化查询
• ORM需求：SQLAlchemy（自带防注入）
• 异步：aiomysql/asyncpg
• 类型安全：SQLModel（基于SQLAlchemy+Pydantic）

一句话总结：用参数化查询就完事了，别自己拼字符串。

关键字：参数化查询

预处理不就防注入了

如果是不含 ORM 组件的 web 框架可以使用 sqlalchemy。
另外问一下各位，使用 pymysql 的的时候，我在执行 sql 前强制检测单引号并转义，是不是能防止注入？