شرح حقن SQL باستعلام واحد

يحدث حقن SQL حين يصبح إدخال المستخدم جزءًا من شيفرة الاستعلام بدل بياناته.

النمط المعرّض للخطر

query = "SELECT * FROM users WHERE name = '" + name + "'"  # never do this

الحل: المعاملات

cursor.execute("SELECT * FROM users WHERE name = %s", (name,))

يرسل المشغّل القيمة منفصلة، فلا تستطيع أبدًا تغيير بنية الاستعلام.