1

Estoy aprendiendo python.

En la respuesta que le dieron a otro usuario en este link: Datos introducidos mediante formulario hecho en tkinter no se insertan en la base de datos

el usuario que le  responde dice: "además no debes usar formateo de cadenas de Python para crear una consulta nunca, esto puede llevar a que tu código sea susceptible de ataque de inyección SQL".

¿Alguien podría aclararme ese concepto?  Es decir ¿cómo habría que hacer una consulta sql para que sea segura en python y no quede vulnerable a las llamadas inyecciones de sql?

Gracias.

1
  • 2
    Primero, comienza -por favor- borrando esa no-respuesta que dejaste en la pregunta que enlazas :)
    – Alfabravo
    Commented el 8 ene. 2021 a las 21:03

1 respuesta 1

4

En general, sin importar el lenguaje utilizado, nunca deberías hacer una consulta SQL a partir de una cadena y usando funciones de cadenas para concatenar o integrar subcadenas en la consulta.

Por ejemplo, en la pregunta que citas, el OP mostró un código con esta línea

c.execute("INSERT INTO usuarios (usuario, pass, destino)  values({0},{1},{2});".format(usuario,contr,destino))

Ahí ves cómo hay una cadena con la consulta y unos placeholders en los lugares donde, usando format, se ponen los parámetros de ejecución. Esto no hace ninguna validación, no escapa ningún caracter y permite que un atacante ingrese cualquier dato malicioso que abusará de tu aplicación y se ejecutará en la consulta.

El contenido de usuario, contr o destino puede ser cualquier cosa, incluyendo caracteres especiales que deformen la consulta que pretendes ejecutar. Recomiendo que leas más sobre SQL injection para que veas cómo puede usarse esto.

En la respuesta aceptada muestran que es posible usar una consulta parametrizada

cursor.execute('''INSERT INTO usuarios (usuario, pass, destino)
                               VALUES(?, ?, ?);''',
                       data
                      )

donde data es una tupla de datos obtenidos del formulario. Cada símbolo ? es un placeholder que la librería sqlite es capaz de reemplazar por los parámetros que le entregues (data), en el orden dado, escapando las cosas para evitar líos. Ahí reusas lo que los desarrolladores del módulo ya probaron y consideran seguro.

2
  • 2
    muchas gracias; perdón por haber hecho la pregunta en donde no correspondía; recién estoy familiarizándome con esta plataforma; quise borrar esa publicación incorrecta pero veo que ya fue eliminada por otro usuario. gracias nuevamente, entendida la explicación. saludos. marcos.
    – wm610gm
    Commented el 10 ene. 2021 a las 2:52
  • @wm610gm gracias por estar pendiente, espero que encuentres muchas más cosas en esta comunidad. Bienvenidx!
    – Alfabravo
    Commented el 12 ene. 2021 a las 14:59

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.