【Django】Django 直接执行原始SQL 如何防止SQL注入 ?
代码示例:
#错误--不要直接格式化字符串 query = 'SELECT * FROM myapp_person WHERE last_name = %s' % lname Person.objects.raw(query) #正确--使用Django raw函数 功能进行安全转义 name = 'Doe' Person.objects.raw('SELECT * FROM myapp_person WHERE last_name = %s', [name])
参考资料:
http://www.gowhich.com/blog/309
http://www.cnblogs.com/BeginMan/archive/2013/05/27/3101322.html
http://blog.sina.com.cn/s/blog_3fe961ae010167jl.html