企业官网建设流程全解析

198、Python 安全编程清单：SQL 注入防护、RCE 风险、依赖漏洞扫描

上周五凌晨两点，我被一个线上告警电话吵醒。用户反馈某个后台管理页面出现了“奇怪的错误”，我登录服务器一看，日志里赫然躺着一条SQL语法错误——syntax error at or near "DROP"。那一刻我后背发凉，因为那段代码是我三个月前写的，一个简单的用户搜索接口，用了最原始的字符串拼接。

那个晚上我排查了所有可能被注入的入口，发现不止SQL注入，还有几个地方存在命令执行风险，甚至某个第三方库的版本已经公开了CVE漏洞。这篇文章就是那次事故后我整理的安全编程清单，希望能帮你少踩几个坑。

SQL注入防护：别让用户输入变成SQL语法

先看一个典型的错误写法，我承认这是我当初犯的错：

# 别这样写！这是灾难defsearch_user(username):query