Einfache Webprogrammierung mit python

cofi · Mittwoch 15. Juni 2011, 17:15

@daemonTutorials: Und jetzt bitte in einer Version, die nicht für SQL Injections anfällig ist. Prepared Statements zu nutzen ist doch gerade in Python unheimlich einfach.

derdon · Mittwoch 15. Juni 2011, 17:24

Bei der Citibank macht man das aber auch so

jens · Mittwoch 15. Juni 2011, 17:28

Oder besser gleich ein ORM nehmen... Und doch Templates... Also doch besser direkt mit Django anfangen...

daemonTutorials · Mittwoch 15. Juni 2011, 17:29

cofi hat geschrieben:@daemonTutorials: Und jetzt bitte in einer Version, die nicht für SQL Injections anfällig ist. Prepared Statements zu nutzen ist doch gerade in Python unheimlich einfach.

Sorry, hatte erst kürzlich was mit SQL und Python zutun und da habe ich 'sqlite3' benutzt und das war in einer abgeriegelten Web-App für den HomePC. Da musste ich über das nicht nachdenken.

Also, eine Frage: Wie macht man "Prepared Statements"?
Ich habe die ID schon über '%' eingefügt, wie weiter?
Ach und bei PHP, da habe ich es total vergessen, sorry!

deets · Mittwoch 15. Juni 2011, 17:43

derdon hat geschrieben:Bei der Citibank macht man das aber auch so

Nee, nicht wirklich. Die haben ja keine SQL-Injection verbrochen, sondern authentizitaet mit authorisation gleichgesetzt. Sicher auch ein beliebter Fehler (siehe zB den "Facebook-Killer" Diaspora), aber noch ein klitzekleines bisschen besser als SQL-Injection.

deets · Mittwoch 15. Juni 2011, 17:46

daemonTutorials hat geschrieben: Also, eine Frage: Wie macht man "Prepared Statements"?

Das Prinzip ist ganz simpel:

Code: Alles auswählen

cursor.execute(statement, (p1, p2, ...))

In dem statement muessen dann ebenfalls Platzhalter vorkommen. Leider ist das abhaenging von der verwendeten Datenbank (ein weiterer Grund, SQLAlchemy zu benutzen).

ZB "select * from table where column = %s" fuer mysqj. Dabei ist egal, was der Parameter fuer einen Typ hat! Das %s ist immer ein Platzhalter fuer jeden Typ.

noisefloor · Mittwoch 15. Juni 2011, 19:08

Hallo,

Coder hat geschrieben:Wie trennt man am Besten die beiden Teile?

Wie alles andere bei Python auch: das ganze in kleine Häppchen unterteilen und mit entsprechenden Modulen / Klassen / Funktionen bereitstellen.

Im Falle einer Webapplikation wäre das: die "Hauptdatei", welcher per WSGI eingebunden wird. Hier werden die Routen definiert und die zur Route gehörige Funktion. Ein eigenes Modul (bzw. mindestens Funktionen), welches die "Datenverarbeitung" vornimmt. Was auch immer "Datenverarbeitung" ist (Berechnung, PDF generieren, Datenbankanbindung etc.). Und mindestens ein Template, was dann zum Generieren der Ausgabe dient.

MVC-Prinzip halt. Jetzt wird vielleicht auch klar, warum Django bei einem neuen Projekt drei Dateien anlegt (AFAIK).

Gruß, noisefloor