flawopen.com/Python में SQL Injection/SQLAlchemy

क्या SQLAlchemy text() SQL Injection से सुरक्षित है?

stmt = text(
  f"SELECT id FROM users WHERE id = {user_id}"
)
rows = conn.execute(stmt)

stmt = text(
  "SELECT id FROM users WHERE id = :id"
)
rows = conn.execute(stmt, {"id": user_id})

# Bind values, not identifiers. Choose any
# selectable column from a fixed application map.
columns = {"name": users.c.name,
           "created": users.c.created_at}
column = columns.get(requested_sort, users.c.created_at)
stmt = select(users.c.id).order_by(column)
rows = conn.execute(stmt)

text() क्या करता है — और क्या नहीं

text() textual SQL construct बनाता है; यह पहले से interpolated input वाली string को साफ़ नहीं करता। SQL में value placeholders घोषित करें और मानों को Connection.execute() या Session.execute() में अलग दें। SQLAlchemy Core expression API उपयुक्त स्थानों पर Python literal values bind करता है, लेकिन textual fragments SQL syntax ही रहते हैं। Parameters table names, column names या sort directions की जगह नहीं ले सकते। उपयोगकर्ता द्वारा चुनी संरचना को निश्चित SQLAlchemy expressions से map करें। Parameterization SQL Injection रोकता है, पर authorization या business-rule validation का विकल्प नहीं है।

कोडबेस की जाँच कैसे करें

अक्सर पूछे जाने वाले प्रश्न

स्रोत

• SQLAlchemy 2.0 ट्यूटोरियल — Parameters भेजना
• SQLAlchemy 2.0 ट्यूटोरियल — SQL Expressions और textual SQL
• OWASP — SQL Injection रोकथाम मार्गदर्शिका
• flawopen.com — Python में SQL Injection