0

Olá, eu pesquisei na internet quais caracteres remover, mas as buscas não me responderam a dúvida.. Então, eu procurei sei sobre anti-sqlinjection no python, mas não encontrei nenhuma forma de fazer isso removendo diretamente os caracteres ao formar a string... Só encontrei solucoes do tipo estáticas, onde vc ja forma o comando executando, pra mim esse tipo não serve, porque eu tenho formas dinâmicas de pegar os resultados, dependendo do resultado tal.

Preciso que a variavel se forme da seguinte forma por exemplo:

senha=d[6:]
con=consultarSql()
if senha!="":
    sql="SELECT id FROM motorista WHERE senha="+"'"+antisql(senha)+"'"
    myresult=con.consultar(sql)

Por enquanto o único caractere que estou removendo é um tab, porque ele tava atrapalhando

Seria tipo assim:

def antisql(string):
    string=string.replace(" ","")
    string=string.replace("'","")
    string=string.replace("\"","")
    string=string.replace("\\","")
    ....aqui da replace nas outras caracteres

O que preciso é de uma lista completa de caracteres que possam a vir me dar problemas. -> Só para constar meu software a parte do python é um websocket, e ele dá um resultado json, por isso eu removi esse caractere de espaço maior <- nao é o espaço normal não, é um caractere de espaço maior, que buga o json..

6
  • 1
    Deve existir algo pronto e que funcionará bem melhor que o seu.
    – Maniero
    Commented 25/12/2018 às 0:00
  • 1
    Isto já está implementado nos drivers dos bancos de dados, consulte bobby-tables.com/python para maiores detalhes.
    – user50856
    Commented 25/12/2018 às 10:51
  • 1
    Eu ja vi esses métodos, mas eu já disse, eu preciso fazer isso de forma dinâmica, dependendo da informação o resultado é um ou outro.... Não quero implementar a segurança direto na execução do sql, quero proteger a variavel antes mesmo de criar a string sql Commented 25/12/2018 às 20:16
  • 1
    Eu já tentei fazer dessas formas mas não deu certo, eu criei uma classe pra conectar no mysql, e fazer as consultas e/ou executar, é mais facil mandar a string sql pronta, do que mandar as tabelas e dados pra def. Commented 25/12/2018 às 20:23
  • 2
    Se é dinâmica e esses métodos não satisfazem suas necessidades, precisaremos que você cite todos os casos possíveis de acontecer na aplicação, bem como listar todos os requisitos a serem satisfeitos. Sem isso, qualquer resposta será baseada em especulação, sem trazer qualquer benefício a comunidade. Já adianto que fazer replace de caracteres não adiciona nenhum tipo de segurança à aplicação. Dito isso, votei para fechar a pergunta como não clara até todos os detalhes serem apresentados.
    – Woss
    Commented 25/12/2018 às 23:40

1 Resposta 1

-1
remove = set(";:,.'")
def clean(sentence):
    for c in set(sentence)&remove:
        sentence = sentence.replace(c,"")
    return sentence

Sentence = "feijão 'com, arroz"


CleanSentence = clean(Sentence)

print(Sentence)
print(CleanSentence)
1
  • Você pode utilizar também conn.escape_string() Commented 26/12/2018 às 16:24

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .