如何清理 PSQL LIKE 查詢以防止注入攻擊 - SQALCHEMY PYTHON

Question

當我向它傳遞一些從表單中獲取的變量時，我試圖使用 python 清理 sql 查詢。 我有以下內容：

listOfBooks = db.execute("SELECT * from books WHERE " + searchParameter + " LIKE" + "'%"+ ":searchString" +"%'", {"searchString": searchString} ).fetchall()

但顯然它給了我一個錯誤，因為它將它解釋為

SELECT * from books WHERE isbn LIKE'%'2017'%' ,

所以問題是2017年左右有額外的單引號不應該存在。

如何解決這個問題？

干杯!

Answer 1

我不確定您使用哪種語言，我假設它是 Java，在這種情況下，您應該像這樣將單引號替換為雙單引號

searchString.replace("'", "''")