mysql - 如何在原始 django 中清理 SQL 输入

Question

当有人执行搜索时，我会运行以下查询:

search = request.GET.get('search', '')
titles = Title.objects.raw("SELECT * FROM title WHERE MATCH(new_composite_title)
         AGAINST ('" + search + "') LIMIT 10")

如何清理上述输入以防止 SQL 注入(inject)？

Answer 1

不要相信用户输入。它充满了sql注入(inject)。使用extra()带有 params 参数的 QuerySet 修饰符。看here MySQL的全文搜索示例。