Python para todos

Bases de datos
A la hora de trabajar con selects u otros tipos de sentencias SQL es
importante tener en cuenta que no deberían usarse los métodos de
cadena habituales para construir las sentencias, dado que esto nos haría
vulnerables a ataques de inyección SQL, sino que en su lugar debe
usarse la característica de sustitución de parámetros de DB API.
Supongamos que estamos desarrollando una aplicación web con
Python para un banco y que se pudiera consultar una lista de sucursales
del banco en una ciudad determinada con una URL de la forma
http://www.mibanco.com/sucursales?ciudad=Madrid
Podríamos tener una consulta como esta:
cursor.execute(“””select * from sucursales
where ciudad=’” + ciudad + “’”””)
A primera vista podría parecer que no existe ningún problema: no
hacemos más que obtener las sucursales que se encuentren en la ciudad
indicada por la variable ciudad. Pero, ¿qué ocurriría si un usuario malintencionado
accediera a una URL como “http://www.mibanco.com/s
ucursales?ciudad=Madrid’;SELECT * FROM contrasenyas”?
Como no se realiza ninguna validación sobre los valores que puede
contener la variable ciudad, sería sencillo que alguien pudiera hacerse
con el control total de la aplicación.
Lo correcto sería, como decíamos, utilizar la característica de sustitución
de parámetros de DB API. El valor de paramstyle para el módulo
sqlite3 era qmark. Esto significa que debemos escribir un signo de
interrogación en el lugar en el que queramos insertar el valor, y basta
pasar un segundo parámetro a execute en forma de secuencia o mapping
con los valores a utilizar para que el módulo cree la sentencia por
nosotros.
cursor.execute(“””select * from sucursales
where ciudad=?”””, (ciudad,))
Por último, al final del programa se debe cerrar el cursor y la conexion:
123