sqlalchemy防止SQL注入-使用engine.execute() api

Question

我试图找到一种方法来使用sqlalchemy的engine.execute级解决方案的sql注入，但我发现这是可能通过ORM风格。

我们如何使用引擎级api实现它?

Answer 1

您可以使用sqlalchemy.sql.expression.text绑定参数来避免SQL注入。当然，使用sql/核心层来构建查询也应该有效。session.execute(选择(my_table)。(id = some_id))。