Пост Всегда используйте подготовленные выражения, чтобы предотвратить SQL-инъекции.

Всегда используйте подготовленные выражения, чтобы предотвратить SQL-инъекции. Вот пример кода, который делает вашу программу уязвимой к малым атакам: user_input = request.form['username'] query = f"SELECT * FROM users WHERE username = '{user_input}'" cursor.execute(query) Когда вы пишете код таким образом, опасность заключается в том, как формируется SQL-запрос до того, как он попадет в базу данных. Прежде чем база данных увидит запрос, Python вставляет ввод пользователя напрямую в SQL-строку. База данных получает уже готовое SQL-выражение и просто выполняет его. У базы данных нет способа понять, какая часть — это данные, а какая — SQL-логика. Риск в том, что данные могут изменить логику программы. Когда вы используете подготовленные выражения: user_input = request.form['username'] query = "SELECT * FROM users WHERE username = ?" cursor.execute(query, (user_input,)) Вы отделяете SQL-запрос от входных данных. Вместо того чтобы вставлять значения прямо в строку запроса, вы разделяете SQL-логику и ввод пользователя. Теперь база данных воспринимает ввод как данные, а не как выполняемый SQL-код. Вот в чем заключается суть защиты. 👉 @PythonPortal