python mysql-delete-Anweisung nicht funktioniert

hier bin ich versucht, entfernen Sie alle Benutzer, die containt eine " in Ihrer E-Mail/Benutzername.

    def removeQuote(self, tbl,record):
            """ Updates the record """
            statmt="select id from %s WHERE `email` LIKE '%%\"%%'" % (tbl)
            self.cursor.execute(statmt)
            rows=list(self.cursor.fetchall())
            for idx, val in enumerate(rows):
                    id= val[0]
                    delstatmt = "DELETE FROM `maillist_subscription` WHERE id = '%s'" % id
                    print delstatmt
                    self.cursor.execute(delstatmt)

Die Ausgabe dieses zeigt, als ob die Aktion erfolgreich ausgeführt wurde, aber der Datensatz bleibt in der Datenbank.
Die Ausgabe zeigt auch eine korrekte mysql-Anweisung:

DELETE FROM `maillist_subscription` WHERE id = '8288754'

Vielen Dank für Ihre Hilfe!

InformationsquelleAutor Cmag | 2012-08-22
  1. 19

    Die Sie benötigen, um die änderung zu bestätigen, verwenden Sie die Methode commit() auf das connection-Objekt. Die meisten DBAPI-Schnittstellen verwenden implizite Transaktionen.

    Auch nicht die Verwendung von string-Formatierung für SQL-Abfrage-generation! Es wird sich öffnen Sie bis zu SQL-Injektionen:

    UNSICHER!!

    # What happens if id = "1'; DROP DATABASE somedb" ?
delstatmt = "DELETE FROM `maillist_subscription` WHERE id = '%s'" % (id,)
cursor.execute(delstatmt)
conn.commit()

    SICHER!

    delstatmt = "DELETE FROM `maillist_subscription` WHERE id = ?"
cursor.execute(delstatmt, (id,))
conn.commit()
    • Wenn jemand versucht, zu injizieren eine Abfrage, nicht der client fehlschlagen, wenn Sie ausführen, ist nicht genannt, mit multi=True im unsicheren Ansatz ?
    • Immer tun es der richtige Weg, und Sie werden nicht zulassen, dass jemand zu spielen mit Ihrer Suchanfrage-Logik. Betrachten Sie die obige unsichere Methode, wobei die id 123' OR TRUE--
    • richtig ... danke.
    InformationsquelleAutor Colin Dunklau
Schreibe einen Kommentar