Échapper des caractères dans Python et sqlite

Question

J'ai un script python qui lit les fichiers texte brut dans une base de données sqlite.

J'utilise re.escape (titre) pour ajouter des caractères d'échappement dans les chaînes pour les sécuriser avant d'exécuter les insertions.

Pourquoi ça marche pas:

In [16]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='\'Allo\ \'Allo\!\"\ \(1982\)'") 
--------------------------------------------------------------------------- OperationalError      Traceback (most recent call last) 

/home/rajat/Dropbox/amdb/<ipython console> in <module>() 

OperationalError: near "Allo": syntax error 

Pourtant, cela fonctionne (enlevé \ » en deux endroits):

In [17]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='Allo\ Allo\!\"\ \(1982\)'") Out[17]: <sqlite3.Cursor object at 0x9666e90> 

Je ne peux pas comprendre. Je ne peux pas non plus laisser tomber ces citations principales parce qu'elles font réellement partie du titre de film. Merci.

Answer 1

Vous le faites mal. Littéralement. Vous devez utiliser les paramètres, comme ceci:

c.execute("UPDATE movies SET rating = ? WHERE name = ?", (8.7, "'Allo 'Allo! (1982)")) 

Comme ça, vous ne devez faire aucune du tout et citaient (si ces valeurs viennent de toute personne non fiable), vous serez 100% sûr (ici) des attaques par injection SQL aussi.

Answer 2

J'utilise re.escape (titre) pour ajouter échapper dans les cordes caractères pour les rendre db sécurité

Notez que re.escape fait une chaîne re -safe - rien à voir avec le faire db sûr. Plutôt, comme le dit @Donal, ce que vous avez besoin est le remplacement de paramètre concept concept de l'API DB Python - que rend les choses "db safe" comme vous avez besoin. SQLite ne prend pas en charge les séquences d'échappement de type barre oblique inverse (

)

Answer 3

Les apostrophes dans les chaînes littérales sont indiquées en les doublant: . Mais, comme l'a dit Donal, vous devriez utiliser des paramètres.

Answer 4

J'ai une astuce simple que vous pouvez utiliser pour gérer ce problème: Lorsque votre chaîne d'instruction SQL a guillemets simples: ', vous pouvez utiliser un guillemet double pour entourer votre chaîne d'instruction. Et quand votre chaîne d'instruction SQL a des guillemets doubles: ", alors vous pourriez employer la citation simple:" pour enfermer votre chaîne d'instruction. E.g.

sqlString="UPDATE movies SET rating = '8.7' WHERE name='Allo Allo !' (1982)" 
c.execute(sqlString) 

Ou,

sqlString='UPDATE movies SET rating = "8.7" WHERE name="Allo Allo !" (1982)' 
c.execute(sqlString) 

Cette solution fonctionne pour moi dans l'environnement Python.