python中如何安全地读取用户输入？-Python教程-PHP中文网

python中如何安全地读取用户输入？

尼克

发布： 2025-09-14 21:41:01

原创

292人浏览过

安全读取用户输入需避免eval/exec，使用input获取输入后进行类型转换、异常处理、字符串过滤、正则验证、长度限制，并采用参数化查询防SQL注入。

python中如何安全地读取用户输入？

在Python中安全读取用户输入，核心在于防止恶意代码注入和处理潜在的错误。简单来说，就是对用户的输入进行严格的验证和过滤，避免直接执行用户提供的字符串。

解决方案

使用

input()

登录后复制

函数获取输入： 这是最基本的输入方式。

user_input = input("请输入一些内容: ")
print("你输入的是:", user_input)

登录后复制

不要使用
```
eval()
```
登录后复制
或
exec()
登录后复制
：永远不要使用
```
eval()
```
登录后复制
或
```
exec()
```
登录后复制
来处理用户输入，除非你完全信任输入来源，并且非常清楚潜在的安全风险。这两个函数会直接执行字符串中的Python代码，如果用户输入恶意代码，可能会导致严重的安全问题。

立即学习“Python免费学习笔记（深入）”；
```
# 绝对不要这样做！
# user_input = input("请输入一些表达式: ")
# result = eval(user_input)
# print("结果是:", result)
```
登录后复制
类型转换和验证： 根据你的程序需求，将用户输入转换为适当的类型，并进行验证。例如，如果需要一个整数，可以使用
```
int()
```
登录后复制
函数进行转换，并捕获
```
ValueError
```
登录后复制
异常，以处理无效的输入。
```
try:
    age = int(input("请输入你的年龄: "))
    if age < 0 or age > 150:
        print("年龄无效")
    else:
        print("你的年龄是:", age)
except ValueError:
    print("请输入一个整数")
```
登录后复制
字符串处理和过滤： 如果需要处理字符串输入，可以使用字符串方法进行过滤和转义。例如，可以使用
```
strip()
```
登录后复制
函数去除首尾空格，使用
```
replace()
```
登录后复制
函数替换敏感字符。
```
username = input("请输入你的用户名: ").strip()
username = username.replace(";", "") # 移除分号，防止SQL注入
print("处理后的用户名:", username)
```
登录后复制
使用正则表达式进行更复杂的验证： 对于更复杂的输入验证，可以使用正则表达式。例如，可以使用正则表达式验证电子邮件地址或电话号码的格式。
```
import re

email = input("请输入你的邮箱地址: ")
if re.match(r"[^@]+@[^@]+\.[^@]+", email):
    print("邮箱地址有效")
else:
    print("邮箱地址无效")
```
登录后复制

限制输入长度： 限制用户输入的最大长度，可以防止缓冲区溢出等安全问题。

password = input("请输入你的密码: ")
if len(password) > 32:
    print("密码过长")
else:
    print("密码有效")

登录后复制

使用安全库: 针对特定类型的输入，例如URL，可以使用专门的安全库进行解析和验证，以防止URL注入等攻击。

如何防止SQL注入？

SQL注入是一种常见的安全漏洞，攻击者通过在用户输入中插入恶意的SQL代码，来操纵数据库。防止SQL注入的关键是使用参数化查询或预编译语句。

知我AI·PC客户端

离线运行 AI 大模型，构建你的私有个人知识库，对话式提取文件知识，保证个人文件数据安全

查看详情

参数化查询: 使用参数化查询，可以将用户输入作为参数传递给SQL查询，而不是直接将用户输入拼接到SQL语句中。这样可以防止恶意SQL代码被执行。

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

username = input("请输入用户名: ")
password = input("请输入密码: ")

# 使用参数化查询
cursor.execute("SELECT * FROM users WHERE username = ? AND password = ?", (username, password))

result = cursor.fetchone()

if result:
    print("登录成功")
else:
    print("登录失败")

conn.close()

登录后复制

ORM框架: 使用ORM（对象关系映射）框架，例如 SQLAlchemy，可以自动处理参数化查询，从而简化数据库操作，并提高安全性。

如何处理不同类型的用户输入？

不同的用户输入需要不同的处理方式。

数字输入: 使用
```
int()
```
登录后复制
或
```
float()
```
登录后复制
函数进行类型转换，并捕获
```
ValueError
```
登录后复制
异常。验证数字的范围是否在合理范围内。
字符串输入: 使用
```
strip()
```
登录后复制
函数去除首尾空格。使用
```
replace()
```
登录后复制
函数替换敏感字符。使用正则表达式进行更复杂的验证。限制输入长度。
日期输入: 使用
```
datetime
```
登录后复制
模块进行解析和格式化。验证日期的有效性。
文件输入: 验证文件类型和大小。使用安全的文件操作函数。避免将用户上传的文件直接存储在可执行目录下。