PHP7, Python3 и SQL-инъекции

ORM

Нет, без этого.

http://lmgtfy.com/?q=php7 sql escape

1) Использовать prepared statements!
2) В крайнем случае в драйвере БД должна быть функция экранирования
3) Также, в SQL стандарте есть HEX литералы строк X'value'

А зачем в прежний то перегонять?) Чтобы инъекция сработала?) Из sql возвращают обычно строку как она была послана на сервак, но при выводе в HTML ее уже экранируют.

Я не в HTML вывожу.

http://php.net/manual/en/mysqli.quickstart.prepared-statements.php
http://php.net/manual/en/mysqli.real-escape-string.php
Из БД строка будет вытаскиваться в нужном виде

на самом деле все это программно можно сделать: для этого нужно проescapить ' " \ \0 (удвоение, добавления слеша - в зависимости от бд). в пхп prepared statements не имели смысла, потому как жили в пределах одного запроса. в питоновских либах мне неизвестно они эмилируются или честно используются. скорее второе.

проescapить

Ещё, например, ; - с её помощью прекрасно инъекции делаются. А что ещё? Мне интересует готовый, проверенный веками, механизм.

не делается. только перечисленные мною символы нужно экранировать.

ты не написал базу, которую будешь использовать. если без ORM, то что-то типа этого

cur = con.cursor()
cur.execute('insert into users values(NULL,%s,%s)', ('user@example.org','qweasd'))
# ...
cur.execute('select * from users limit 1;')
row = cur.fetchone()
print(row)

у orm главный недостаток - это потеря гибкости, а преимущество работа с базой в объектном стиле, забывая про sql

https://docs.ponyorm.com/ ООП?

Ну да там ООП. Оно везде в python'е. Там закос под Entity Framework из мира C#. В C# есть LINQ, которые позволяет в код эротично делать вставки чего-то похожего на SQL. Отдаленно напоминает. В пистоне нет альтернатив sqlalchemy, ну разве peewee. Самое лучшее это Django ORM, но для нее нужны тонны кала в виде Django (в эпоху микросервисов ему места в этом жестоком мире нету). Для Mongodb есть Djano-подобная ORM называется mongoengine. Ты так и не написал что там делаешь, какая тебе бпаза нужна, хотя у тебя там выбор небольшой MariaDB (aka MySQL) и Postgresql. Помследняя предпочтителнее, но смотря для каких целей. Ты можешь вообще ORM не использовать, а наплодить DAO как принято это в Java. А еще на питоне можно писать в асинхронном стиле. Когда заходит речь о преимуществах асинхронщины приводят в сравнении Nginx, однопоточный (условно-, потому как треды он все-таки использует для воркеров) сервер и жопач, который в основном работает на тредах.

В пистоне нет альтернатив sqlalchemy, ну разве peewee. Самое лучшее это Django ORM, но для нее нужны тонны кала в виде Django

норкоман штоле?

если с чем-то несогласен приведи примеры, доказывающие обратное. на питоне существует три с половиной ормки (django orm,sqlalchemy,peewee,ponyorm,mongoengine), остальное внимания даже не заслуживает.

Самое лучшее это Django ORM

ШТА? После этого даже не буду читать остальное...

ты у нас дипломированный сисьадмин, а потому никаких вопросов: иди дальше

Да куда уж нам.

django orm,sqlalchemy,peewee,ponyorm,mongoengine

Жду примеров mongoengine для postgresql. И я полностью согласен что без ORM для ELK python беден. Куда там ему до C# с его LINQ. А подумать, что LINQ совсем не всем удобен (и часто вообще неудобен) не судьба. Мы ведь не видели Z SQL Methods...

это джангоподобная ормка для монги. нету?! - напиши сам. я писал на сисярпе. это скорее сисярп не удобен, гибкости не хватает.

Да как бы из того что есть мне все хватает.Можно и чистый SQL использовать. Причем это не мешает мне в одном проекте сменить БД без проблем. Благо в Python нормальный db-api где sql injection сделать только если быть идиотом и постараться. https://www.python.org/dev/peps/pep-0249/#paramstyle

php bin2hex(), hex2bin().

Я написал вот такой код. Можно ли им пользоваться?

class Tools:
    @staticmethod
    def escape(text: str) -> str:
        # remove useless and dangerous zero symbol from string
        while "\0" in text:
            index = text.index("\0")
            text = text[:index] + text[index + 1:]

        # encode dangerous symbols to hex and frame them to zero symbols
        # encode ampersand also for special use
        for symbol in ["'", '"', "\\", "&"]:
            while symbol in text:
                index = text.index(symbol)
                text = text[:index] + "\0" + codecs.encode(text[index:index+1]).hex() + "\0" + text[index+1:]

        # change dangerous zero symbols to ampersands
        while "\0" in text:
            index = text.index("\0")
            text = text[:index] + "&" + text[index+1:]

        return text

    @staticmethod
    def unescape(text: str) -> str:
        # change ampersands to zero symbols back
        while "&" in text:
            index = text.index("&")
            text = text[:index] + "\0" + text[index + 1:]

        # find and decode hex fragments
        while "\0" in text:
            index = text.index("\0")
            part0 = text[:index]
            part1 = text[index+1:]
            index = part1.index("\0")
            part2 = part1[index+1:]
            part1 = part1[:index]
            text = part0 + bytes.fromhex(part1).decode() + part2

        # no need to restore zero symbols
        return text

php bin2hex(), hex2bin()

Перегонять прям всё в hex/bin - не то, что надо. Надо что-то сделать с опасными символами. А потом вернуть, как было.

амперсанд зачем? в питоне как в яваскрипт строки иммутабельны, ты каждый раз строку копируешь в цикле это как бы иррационально. у строки есть метод translate для множественной замены, но и это тебе не нужно, потому как все коннекторы к базам поддерживают плейсхолдеры/prepared statements.

амперсанд зачем?

Он у меня обрамляет закодированные фрагменты, т.е. является служебным символом, потому в исходном тексте все амперсанды тоже перегоняются в hex.

в питоне как в яваскрипт строки иммутабельны, ты каждый раз строку копируешь в цикле это как бы иррационально.

Не в этом сейчас вообще вопрос. Я понимаю, что код очень далёк от идеала. Мне важно, чтобы он корректно и безотказно функционировал.

#!/usr/bin/env python
import sqlite3
con = sqlite3.connect('test.db')
con.execute("""
  create table if not exists data (
    id integer primary key autoincrement,
    content text
  );
""")
cur = con.cursor()
cur.execute('insert into data (content) values (?);', ('\0"\'', ))
cur.execute('select * from data limit 1;')
row = cur.fetchone()
print(row)
print('\0' in row[1])

Output:

(dev)  sergey@sergey-pc  ~/Development/tests  ./sql.py
(1, '\x00"\'')
True

В базе у тебя и так оригинальные символы хранятся. Нет смысла в твоих телодвижениях.

В пистоне нет альтернатив sqlalchemy

Самое лучшее это Django ORM

Надо что-то сделать с опасными символами.

Это в мануале пэхэпэ описано. Оказывается у тебя простая проблемка.

Это в мануале пэхэпэ описано. Оказывается у тебя простая проблемка.

Проблема пэхэпэ в том, что там далеко не одна функция для обезопасевания. Там есть и htmlspecialchars, add*slashes, *_real_escape_string, и прочие. Если ты такой шарящий, то вместо того, чтобы слать меня на... читать мануал, лучше бы написал всего два слова: функция, позволяющая перегнать текст в безопасный вид для прямой вставки в SQL-запрос, и функция, которая восстановит из этого вида в исходный. А если ещё и для питона две такие функции назовёшь - вообще красава будешь. Но ты этого не сделаешь, пока все тут только языком трепят, по существу никто ничего не сказал. Мне не нужны ваши обходные решения и нравоучения на тему, как правильно делать. Я чётко поставил задачу. Можете помочь - буду очень благодарен. Не можете - проходите, пожалуйста, мимо, ну нужно засерать тему и расписываться в своём дилетантсве.

В базе у тебя и так оригинальные символы хранятся. Нет смысла в твоих телодвижениях.

Спасибо, милый человек, что рассказал, как правильно делать. Но вопрос в нулевом посте поставлен именно так, как поставлен. Мне не нужно «правильное» решение, мне нужны две функции для php и две для питона.

тебе все написали как делать. давно бы нагуглил.

>>> tr=str.maketrans({'\0': '\\0', '"': '""', "'": "''"})                       

>>> 'This is "bad" string\0'.translate(tr)                                      
'This is ""bad"" string\\0'

Мне казалось главный недостаток десятитысячекратное падение производительности, гибкости там хватает на удовлетворение всех требований (помимо самых сумасшедших и экспериментальных).

mysqli

закапывай, есть PDO

Ты сам то понял, что за бред написал?

>>> a = '\0'
>>> len(a)
1
>>> tr = str.maketrans({'\0': '\\0'})
>>> a.translate(tr)
'\\0'
>>> b = a.translate(tr)
>>> len(b)
2
>>> b[1]
'0'
>>> b[0]
'\\'

функция, позволяющая перегнать текст в безопасный вид для прямой вставки в SQL-запрос, и функция, которая восстановит из этого вида в исходный

Фейспалм. addslashes и stripslashes устроит?

А тут что не так?