Django 开发 MxOnline 项目笔记　－－　第12章

2018-03-09 本文已影响70人江湖十年

sql 注入攻击

01.png

b/s架构网站要对所有表单提交作数据有效性验证
拿用户登录来测试 sql 注入
在 apps/users/views.py 中，定义LoginUnSafeView 类视图来测试不用
django 提供的用户登录验证方法，而是手写一个简单的登录逻辑，不对数据进行验证

# apps/users/views.py

class LoginUnSafeView(View):
    """
    不安全的登录类视图测试,
    不使用 django 的 login 来验证数据,
    """
    def get(self, request):
        context = {}
        return render(request, "login.html", context)

    def post(self, request):
        user_name = request.POST.get("username", "")
        user_password = request.POST.get("password", "")

        import pymysql
        conn = pymysql.connect(host="127.0.0.1", port=3306, user="pythonic", passwd="pythonic", db="mxonline", charset="utf8")
        cursor = conn.cursor()
        sql_select = "select * from users_userprofile where email='{0}' and password='{1}'".format(user_name, user_password)
        result = cursor.execute(sql_select)


        for row in cursor.fetchall():
            # 查询到用户, 执行用户登录的逻辑
            pass

        # 未查询到用户, 执行的代码
        print("test")

配置 url

# apps/users/urls.py

from users.views import LoginUnSafeView


urlpatterns = [
    ...
    path("login/", LoginUnSafeView.as_view(), name="login"),
]