0

Господа, получаю по url некий текст, его же хочу отправить в базу данных, но данные не улетают. причем без кирилицы все прекрасно уходит. сервер выводит следующее: "GET /mapi/users/?tel=\u043d\u0430\u0440\u0438\u043a HTTP/1.1" 200

@app.route('/api/', methods=['GET'])
def get_users():
    tel = request.args.get('tel', type=str)
    check(tel)


def check(self, tel):
    self.connect()
    sql = f"SELECT tel FROM `users` WHERE tel='{tel}'"
    try:
        self.cursor.execute(sql)
        result = self.cursor.fetchall()
        self.db.close()
        return result
    except Exception as e:
        self.db.rollback()
        self.db.close()
3
  • Не стану вам помогать с этим вопросом. И вот почему: у вас SQL операторе возможно передать любой SQL код, например команду для стирания таблиц, или получение любых данных из БД. Сперва устраните этот "вектор атаки". Commented 11 авг. 2022 в 14:40
  • Как лучше всего сделать безопасные запросы?
    – garik01
    Commented 15 авг. 2022 в 5:01
  • stackoverflow.com/a/45343693/14775762 Commented 15 авг. 2022 в 6:18

1 ответ 1

0

Прописал проверку получаемого аргумента на пустоту и перезаписал переменную с использованием encode

@app.route('/api/', methods=['GET'])
def get_users():
    tel = request.args.get('tel', type=str)
    if tel and tel != '':
        tel = tel.encode().decode('utf8', 'ignore')
        check(tel)

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.