python - MYSQL ステートメント内の動的テーブル名 (Google Cloud SQL)

Question

Python (App Engine) を使用して Google Cloud SQL 内からテーブルをドロップ/削除しようとしていますが、テーブル名を変数に基づいて作成したいと考えています。簡単にするために、ここでは「hello」を使用しています。なんらかの理由で、エラーが返されます。

私は次のことを試しました：

tabNameShort = 'hello'    
cursor = conn.cursor()
cursor.execute('DROP TABLE IF EXISTS %s', (tabNameShort))
conn.commit()

私も試しました：

tabNameShort = 'hello'    
cursor = conn.cursor()
cursor.execute('DROP TABLE IF EXISTS ' + tabNameShort)
conn.commit()

助言がありますか？

Answer 1

警告: 「+」を使用してテーブル名を直接追加すると、テーブル名がユーザー入力から直接的または間接的に派生している場合、SQL インジェクションの脆弱性が発生する可能性があります。