python.pg8000-sqli

Eine String-Verkettung mit einer nicht literalen Variable in einer pg8000-Python-SQL-Anweisung wurde erkannt. Das kann zu SQL-Injection führen, wenn die Variable benutzerkontrolliert und nicht ordentlich bereinigt ist. Verwenden Sie zur Vorbeugung parametrisierte Abfragen oder Prepared Statements. Parametrisierte Abfragen erzeugen Sie etwa so: 'conn.run("SELECT :value FROM table", value=myvalue)'; Prepared Statements mit 'conn.prepare': 'conn.prepare("SELECT (:v) FROM table")'.

Detected string concatenation with a non-literal variable in a pg8000 Python SQL statement. This could lead to SQL injection if the variable is user-controlled and not properly sanitized. In order to prevent SQL injection, use parameterized queries or prepared statements instead. You can create parameterized queries like so: 'conn.run("SELECT :value FROM table", value=myvalue)'. You can also create prepared statements with 'conn.prepare': 'conn.prepare("SELECT (:v) FROM table")'

Une concaténation de chaînes avec une variable non littérale a été détectée dans une requête SQL Python pg8000. Si la variable est contrôlable par l'utilisateur et n'est pas correctement assainie, cela peut conduire à une injection SQL. Utilisez plutôt des requêtes paramétrées ou des instructions préparées, par exemple : 'conn.run("SELECT :value FROM table", value=myvalue)' ; vous pouvez aussi créer une instruction préparée avec 'conn.prepare' : 'conn.prepare("SELECT (:v) FROM table")'.

pg8000 の SQL ステートメントで非リテラルの変数と文字列連結していることを検出しました。この変数がユーザーによって制御可能で、適切にサニタイズされていない場合、SQL インジェクションにつながります。代わりにパラメーター化クエリまたはプリペアドステートメントを使用してください。例：'conn.run("SELECT :value FROM table", value=myvalue)'。'conn.prepare' でプリペアドステートメントを作成することもできます：'conn.prepare("SELECT (:v) FROM table")'。

pg8000 SQL 문에서 리터럴이 아닌 변수와의 문자열 연결이 감지되었습니다. 해당 변수를 사용자가 제어할 수 있고 적절히 정제되지 않으면 SQL 인젝션으로 이어질 수 있습니다. 매개변수화된 쿼리나 사전 컴파일된 문장으로 전환하십시오(예: 'conn.run("SELECT :value FROM table", value=myvalue)'). 'conn.prepare'로 사전 컴파일된 문장을 만들 수도 있습니다: 'conn.prepare("SELECT (:v) FROM table")'.

Обнаружена конкатенация строки с не литеральной переменной в SQL-запросе pg8000. Если переменная управляется пользователем и не очищается должным образом, возможна SQL-инъекция. Для защиты используйте параметризованные запросы или подготовленные выражения, например: 'conn.run("SELECT :value FROM table", value=myvalue)'; подготовленные выражения можно создать и через 'conn.prepare': 'conn.prepare("SELECT (:v) FROM table")'.

检测到 pg8000 SQL 语句中与非字面量变量做字符串拼接。若该变量可被用户控制且未妥善净化，会导致 SQL 注入。请改用参数化查询或预编译语句，例如：'conn.run("SELECT :value FROM table", value=myvalue)'；也可用 'conn.prepare' 创建预编译语句：'conn.prepare("SELECT (:v) FROM table")'。

檢測到 pg8000 SQL 陳述式中與非字面量變數做字串串接。若該變數可被使用者控制且未妥善淨化，會導致 SQL 注入。請改用參數化查詢或預備陳述式，例如：'conn.run("SELECT :value FROM table", value=myvalue)'；也可用 'conn.prepare' 建立預備陳述式：'conn.prepare("SELECT (:v) FROM table")'。