推荐答案
在 Python 中防止 SQL 注入的最佳实践是使用参数化查询。通过将用户输入的数据作为参数传递给 SQL 查询，而不是直接将其嵌入到 SQL 语句中，可以有效防止 SQL 注入攻击。
// www.javascriptcn.com code example
import sqlite3
# 连接到数据库
conn = sqlite3.connect('example.db')
cursor = conn.cursor()
# 用户输入
user_id = "1; DROP TABLE users; --"
# 使用参数化查询
cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))
# 获取结果
result = cursor.fetchall()
print(result)
# 关闭连接
conn.close()本题详细解读
什么是 SQL 注入？
SQL 注入是一种常见的网络安全漏洞，攻击者通过在输入字段中插入恶意的 SQL 代码，从而操纵数据库查询，可能导致数据泄露、数据篡改甚至数据库被删除。
为什么参数化查询能防止 SQL 注入？
参数化查询通过将用户输入的数据作为参数传递给 SQL 查询，而不是直接将其嵌入到 SQL 语句中。数据库引擎会将参数视为数据而不是 SQL 代码的一部分，从而防止恶意 SQL 代码的执行。
如何使用参数化查询？
在 Python 中，可以使用数据库模块（如 sqlite3、psycopg2、mysql-connector-python 等）提供的参数化查询功能。通常使用 ? 或 %s 作为占位符，并将用户输入的数据作为元组或字典传递给查询。
# 使用 ? 作为占位符
cursor.execute("SELECT * FROM users WHERE id = ?", (user_id,))
# 使用 %s 作为占位符（适用于某些数据库模块）
cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))其他防止 SQL 注入的方法
使用 ORM（对象关系映射）：ORM 框架（如 SQLAlchemy、Django ORM）会自动处理 SQL 查询的参数化，进一步减少 SQL 注入的风险。
输入验证和过滤：在将用户输入传递给数据库之前，进行严格的输入验证和过滤，确保输入数据符合预期格式。
最小权限原则：数据库用户应仅具有执行必要操作的最小权限，避免使用具有高权限的账户执行查询。
通过结合这些方法，可以显著降低 SQL 注入的风险，保护应用程序和数据库的安全。