SQL 삽입을 피하기 위해 pysqlite의 열 이름을 어떻게 매개 변수화해야합니까?

Question

사용자가 결과가 표시되는 순서를 선택할 수 있기를 바랍니다. 나이별로), 데이터베이스에서 가져온 후에 정렬하고 싶지 않습니다.

분명히 사용자가 SQL 명령에 영향을주는 입력을 지정할 수 있다면 위생 처리가 필요하며 일반적으로 parameterisation을 사용하지만 pysqlite는 값을 제외한 매개 변수를 무시하는 것 같습니다.

예제 코드는 ORDER BY에 대해 작동하지 않는 매개 변수화를 보여 주며 문자열 형식을 사용하는 해결 방법이지만 SQL 주입에 취약합니다.

SQLi 취약점을 노출하지 않고 사용자 입력이 정렬 순서에 영향을 줄 수있는 권장 솔루션은 무엇입니까? 문자열 형식을 사용하고 모든 사용자 입력을 수동으로 확인해야합니까?

#!/user/bin/env python3 

import sqlite3 

con = sqlite3.connect(':memory:') 
cur = con.cursor() 
cur.execute('CREATE TABLE test (name, age)') 
cur.execute('INSERT INTO test VALUES (:name, :age)', {'name': 'Aaron', 'age': 75}) 
cur.execute('INSERT INTO test VALUES (:name, :age)', {'name': 'Zebedee', 'age': 5}) 

cur.execute('SELECT * FROM test ORDER BY age ASC') 
results = cur.fetchall() 
print('\nGood, but hard coded:\n', results) 
# Good, but hard coded: 
# [('Zebedee', 5), ('Aaron', 75)] 

cur.execute('SELECT * FROM test ORDER BY :order_by ASC', {'order_by': 'age'}) 
results = cur.fetchall() 
print('\norder_by parameter ignored:\n', results) 
# order_by parameter ignored: 
# [('Aaron', 75), ('Zebedee', 5)] 

cur.execute('SELECT * FROM test ORDER BY {order_by} ASC'.format(order_by='age')) 
results = cur.fetchall() 
print('\nRight order, but vulnerable to SQL injection:\n', results) 
# Right order, but vulnerable to SQL injection: 
# [('Zebedee', 5), ('Aaron', 75)] 

con.close() 

Answer 1

SQL 매개 변수는 값에만 사용됩니다. 다른 것이 쿼리의 의미를 바꿀 수 있습니다. 당신이 허용 된 사이트 목록 사용할 수,

클라이언트에서 열 이름이 유효한지 확인하기 위해 (. 예를 들어, ORDER BY (SELECT ... FROM OtherTable ...)을 할 수로 ORDER BY password는 힌트를 떠날 수) :

if order_by not in ['name', 'age']: 
    raise ... 
execute('... ORDER BY {}'.format(order_by)) 

을하지만 여전히 나쁜 생각 유효성 검사와 실제 테이블이 동기화되지 않거나 검사를 잊어 버릴 수 있기 때문에 해당 문자열을 쿼리에 통합 할 수 있습니다.

order_by = ['name', 'age'][order_index] 
execute('... ORDER BY {}'.format(order_by))