SQLAlchemy查询是否容易受到注入攻击？

Question

我有以下like用于搜索博客的查询。我不确定这样做是否会使自己容易受到SQL注入攻击。SQLAlchemy如何处理此问题？安全吗？

search_results = Blog.query.with_entities(Blog.blog_title).filter(Blog.blog_title.like("%"+ searchQuery['queryText'] +"%")).all()

Answer 1

您正在使用的任何数据库（sqlite3，psycopg2等）的基础db-
api库均会转义参数。SQLAlchemy只是将语句和参数传递给execute，驱动程序会执行所需的任何操作。假设您自己没有编写包含参数的原始SQL，那么您就不会受到注入的攻击。您的示例不容易受到注入攻击。