Skip to main content
6 de 7
se añadieron 211 caracteres en el cuerpo

Prevención de Inyección SQL en Python

Necesito crear una setencia SQL segura usando parámetros, pero los valores de los parámetros no son un literal, entonces al momento de usar el comando SQL cur.execute() no genera el SQL correctamente ya que trata las variables como cadenas o literales.

Se que para PostgreSQL existe un modulo llamado psycopg.sql para redactar estas consultas de manera segura. Sin embargo en mi escenario utilizo MYSql.

Existe en Mysql algún modulo que me ayude a redactar este tipo de consultas de manera segura, actualmente mi consulta esta de la siguiente manera:

select_statement=("GRANT %s' ON %s to %s", (grant['grants'],grant['objects'],ms_account_name,))
cur.execute(grant_statement)

Los parámetros no literales que se envían son los siguientes:

grants="select"
objects="*.*"
account="user"

y el resultado que obtengo es el siguiente

SyntaxError: syntax error at or near "'user'"

De la única forma que funciona pero es inseguro es de la siguiente manera:

grant_statement="GRANT %s ON %s to '%s';"%(grant['grants'],grant['objects'],ms_account_name) 
cur.execute(grant_statement)