Внутрь текста (например, в поле формы) можно внедрить SQL-запрос и видоизменить базу данных. Начиная с Python 3.11 мы можем использовать LiteralString во избегание таких уязвимостей:
def caller( arbitrary_string: str, query_string: LiteralString, table_name: LiteralString,) -> None: run_query("SELECT * FROM students") # ok run_query(query_string) # ok run_query("SELECT * FROM " + table_name) # ok run_query(arbitrary_string) # error run_query(f"SELECT * FROM students WHERE name = {arbitrary_string}" # error )Спасибо подписчику @Trizalio за годную тему для поста.
#лучшиепрактики
