mysql-防止XSS攻击

1,防止Xss攻击

数据库查询数据操作,为了防止注入,要执行参数化查询,也就是直接利用execute直接进行sql语句的执行,
因为exexute本身就有接收语句变量的参数位,
execute()函数本身就有接受SQL语句变量的参数位，只要正确的使用（直白一点就是：使用”逗号”，而不是”百分号”）就可以对传入的值进行correctly转义，从而避免SQL注入的发生。
cursor.execute('select * from tb where id > %s',[5,])