Protección contra inyección SQL en python

Question

Tengo un código en Python que establece un valor char (80) en una base de datos sqlite.

La cadena se obtiene directamente del usuario a través de un campo de entrada de texto y se envía de vuelta al servidor con un método POST en una estructura JSON.

En el lado del servidor actualmente transfiero la cadena a un método que llama a la operación SQL ACTUALIZAR.

Funciona, pero soy consciente de que no es seguro en absoluto.

Espero que el lado del cliente no sea seguro de todos modos, por lo que cualquier protección se pondrá en el lado del servidor. ¿Qué puedo hacer para asegurar la operación UPDATE contra la inyección de SQL?

Una función que "citaría" el texto para que no pueda confundir el analizador SQL es lo que estoy buscando. Espero que tal función exista pero no pude encontrarla.

Editar: Aquí está fijando mi código actual de la etiqueta del nombre de campo Char:

def setLabel(self, userId, refId, label): 
    self._db.cursor().execute(""" 
     UPDATE items SET label = ? WHERE userId IS ? AND refId IS ?""", (label, userId, refId)) 
    self._db.commit() 

Answer 1

De la documentación:

con.execute("insert into person(firstname) values (?)", ("Joe",)) 

Esta escapa "Joe", así que lo que quiere es

con.execute("insert into person(firstname) values (?)", (firstname_from_client,)) 

Answer 2

Noooo ... VARIABLES DE USO BIND! Para eso están allí. Ver this

Otro nombre para la técnica es parameterized sql (creo que "bind variables" puede ser el nombre usado con Oracle específicamente).

Answer 3

La DB-API .execute() admite la sustitución de parámetros, que se ocupará de escapar para usted, se menciona cerca de la parte superior de los documentos; http://docs.python.org/library/sqlite3.html anterior Nunca haga esto - inseguro.