是不是只要用 sqlalchemy 就能基本防止 sql 注入? 用 sqlalchemy 来执行 sql 是不是也能防止?

[clino]

我 google 了一些,但感觉不是很确认.用 orm 方式去用应该是可以防止的,不知道用 sqlalchemy 直接执行 sql 是不是也有防止呢?

[yongzhong]

https://groups.google.com/forum/#!topic/sqlalchemy/RLtezuLDos4
只要拼接,就是不安全的,请用参数绑定

[dong3580]

用参数！
同时尽量前端和后端都要检验非法字符，

[ethego]

不使用 excute ， sqlalchemy 基本上没有问题