pythonの形式でユーザー入力を許可していますか？

ユーザーがPythonのformat（）関数で入力した文字列をフォーマットするのは危険でしょうか？引数/値もユーザー入力から来ますか？（user_input_string.format(*user_input_args)）pythonの形式でユーザー入力を許可していますか？

出典

2017-10-02 Diagamma

Define * risky * ... – Mangohero1

@JeremyMcGibbonありがとう、検索時にこれを見つけられませんでした。 – Diagamma

-1

操作自体は危険ではありません。ユーザーがPythonのベット式を入力した場合、それはevalではありません。

結果がSQLデータベースに書き込まれる場合は、SQL文字列を作成する前に引用を検討する必要があります。

出典

2017-10-02 15:58:17 glenfant

この回答は真実ではなく、潜在的に危険です。 [ここ]（https://stackoverflow.com/questions/15356649/can-pythons-string-format-be-made-safe-for-untrusted-format-strings）を参照してください。 –

ああ、私は 'user_input_string'に気付かず、フォーマットテンプレートは私の心の中でハードコードされていました。とにかく、通常、テンプレート文字列はエンドユーザーによって提供されることは想定されていません。 – glenfant

pythonの形式でユーザー入力を許可していますか？

答えて

関連する問題