3

Necesito crear una setencia SQL segura usando parámetros, pero los valores de los parámetros no son un literal, entonces al momento de usar el comando SQL cur.execute() no genera el SQL correctamente ya que trata las variables como cadenas o literales.

Se que para PostgreSQL existe un modulo llamado psycopg.sql para redactar estas consultas de manera segura. Sin embargo en mi escenario utilizo MYSql.

Existe en Mysql algún modulo que me ayude a redactar este tipo de consultas de manera segura, actualmente mi consulta esta de la siguiente manera:

select_statement=("GRANT %s' ON %s to %s", (grant['grants'],grant['objects'],ms_account_name,))
cur.execute(grant_statement)

Los parámetros no literales que se envían son los siguientes:

grants="select"
objects="*.*"
account="user"

y el resultado que obtengo es el siguiente

SyntaxError: syntax error at or near "'user'"

De la única forma que funciona pero es vulnerable a inyecciones sql es de la siguiente manera:

grant_statement="GRANT %s ON %s to '%s';"%(grant['grants'],grant['objects'],ms_account_name) 
cur.execute(grant_statement)
4
  • 1
    Hola! Bienvenidx a SOes. El idioma oficial es español, así que debo pedirte que traduzcas toooooooooooooda la pregunta (incluyendo el título!) para que otros te respondan y para que no termine cerrada. Recuerda que puedes editar la pregunta todas las veces que quieras. Recomiendo que hagas el recorrido para entender el funcionamiento y ya de paso ganar tu primera medalla. Por otro lado, estaría bien que le echaras un vistazo a Cómo preguntar.
    – Alfabravo
    Commented el 14 abr. 2023 a las 22:28
  • 1
    Que yo haya logrado identificar, no parece haber ninguna (o muy pocas) librerías que hagan eso. Te pensaba recomendar sqlalchemy, pero parece que no existe tampoco allí. Yo se poco de bases de datos en el aspecto de permisos. Así que solo puedo decirte, quizá si investigas mucho encuentres algo poco popular. O tal vez creando una función de mysql?
    – Dante S.
    Commented el 14 abr. 2023 a las 23:58
  • 1
    Si no, de ultima, te conviene crear un generador de consultas grant que se asegure de que no haya inyección sql.
    – Dante S.
    Commented el 15 abr. 2023 a las 0:00
  • 1
    La verdad que ni creo que exista algo así, lo que lleva a pensar que segura vas por mal camino. Cual es el propósito de hacer eso?
    – Christian
    Commented el 15 abr. 2023 a las 1:58

1 respuesta 1

2

Deberias hacer que comandos SQL sean removidos como por ejemplo algo asi (a lo mejor hay una mejor solucion pero esto es lo que se me ocurre):

email = input("Introduzca un email: ")

if ";" in email and "delete" in email or "update" in email or "insert" in email or "select":
    email = email[:email.find(";")]

query = f"select * from personas where email='{email}'"

# Y demas codigo
3
  • 1
    Gracias por tu contribución, revisar Cómo responder, saludos.
    – Jorgesys
    Commented el 17 abr. 2023 a las 15:26
  • 1
    Es una buena solución de ejemplo. Pero que pasa si por ejemplo el mail es [email protected]. Hacer un programa que evite con exito la inyección sql es algo más costoso. Se puede empezar diciendo como debe escribirse el mail, en lugar de como no escribirlo.
    – Dante S.
    Commented el 19 abr. 2023 a las 19:37
  • 1
    El email no se rechazaría porque no tiene un punto y coma. (Y quien usaría ese email para Facebook) Commented el 19 abr. 2023 a las 22:12

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.