Ochrona przed iniekcją SQL w pythonie

Question

Mam pewien kod w języku Python, który ustawia wartość char (80) w sqlite DB.

Ciąg znaków jest uzyskiwany bezpośrednio od użytkownika za pośrednictwem pola wprowadzania tekstu i wysyłany z powrotem do serwera za pomocą metody POST w strukturze JSON.

Po stronie serwera aktualnie przekazuję ciąg do metody wywołującej operację SQL UPDATE.

Działa, ale mam świadomość, że w ogóle nie jest bezpieczny.

Spodziewam się, że strona klienta i tak nie jest bezpieczna, więc wszelkie zabezpieczenia należy umieścić po stronie serwera. Co mogę zrobić, aby zabezpieczyć operację UPDATE przed iniekcją SQL?

Funkcja, która "zacytowałaby" tekst, aby nie mógł pomylić parsera SQL, jest tym, czego szukam. Oczekuję takiej funkcji, ale nie mogę jej znaleźć.

Edit: Tutaj jest ustawienie mój bieżący kod char nazwa pola etykiety:

def setLabel(self, userId, refId, label): 
    self._db.cursor().execute(""" 
     UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", (label, userId, refId)) 
    self._db.commit() 

Answer 1

Z dokumentacji:

con.execute("insert into person(firstname) values (?)", ("Joe",)) 

Ten ucieka "Joe", więc to, co chcesz

con.execute("insert into person(firstname) values (?)", (firstname_from_client,)) 

Answer 2

Nieee ... BIND użyć zmiennych! Po to tam są. Zobacz this

Inną nazwą tej techniki jest parameterized sql (Myślę, że "zmienne wiążące" mogą być nazwą używaną specjalnie w Oracle).

Answer 3

Interfejs DB-API .execute() obsługuje substytucję parametrów, która zajmie się dla ciebie ucieczką, wspomniana w górnej części dokumentów; http://docs.python.org/library/sqlite3.html powyżej Nigdy tego nie rób - niezabezpieczony.