AppScreener说我的SQL代码有一些SQL注入漏洞

Question

我正在开发一个项目，我将有一些论坛和来自lotusnotes的信息的备份。我正在使用Flask运行后端。在用代码扫描程序AppScreener检查我的代码之后，它说我的SQL代码有一些SQL注入漏洞，但我无法理解为什么

这是AppScreener结果：

for usuario in data:
print("Usuario", usuario)
status = usuario['estatus_usuario']
mail = usuario['email_usuario']
cursor = conn.cursor()

cursor.execute( "UPDATE administrador_usuarios SET estatus_usuario=%s
WHERE email=%s",(status,mail))  # ---> this is the line where according to AppScreener is the vulnerability present

conn.commit()
conn.close()
return json.dumps({"response":"ok"})

你能告诉我我能做什么吗

Answer 1

这实际上取决于用于sql的DBAPI（pyodbc、pymysql、sqlite等）。在大多数情况下，我认为%s符号不久前就被贬值了。最好使用？正如人们所评论的（参考链接）