以下是在 Django 中除了使用 ORM 之外避免 SQL 注入漏洞的一些方式：
一、使用参数化查询与 Django 的数据库连接对象
Django 提供了底层的数据库连接对象，你可以使用它进行参数化查询，以避免 SQL 注入。
from django.db import connection
def get_user_by_id(user_id):
with connection.cursor() as cursor:
# 使用参数化查询
cursor.execute("SELECT * FROM users WHERE id = %s", [user_id])
row = cursor.fetchone()
return row
解释：
connection.cursor()用于获取数据库连接的游标对象。cursor.execute()方法接收两个参数，第一个是 SQL 语句，其中%s是占位符，第二个是包含参数的列表。- 这种方式确保了用户输入的
user_id被安全地传递给 SQL 查询，避免了将用户输入直接嵌入 SQL 语句中，从而防止 SQL 注入。
二、使用 Django 的 django-sql-executor 扩展
django-sql-executor 是一个第三方扩展，它可以帮助你更方便地执行参数化 SQL 语句。
首先，安装该扩展：
pip install django-sql-executor
然后在代码中使用：
from sql_executor import execute_sql
def get_users_by_name(name):
sql = "SELECT * FROM users WHERE name LIKE %s"
params = [f"%{name}%"]
results = execute_sql(sql, params)
return results
解释：
- 首先，使用
pip安装django-sql-executor扩展。 execute_sql函数接收 SQL 语句和参数列表作为输入，会自动将参数化的 SQL 语句传递给数据库，确保安全。
三、使用 Django 的 django-advanced-filters 进行动态查询
django-advanced-filters 可以用于构建复杂的查询，同时保证安全性。
首先，安装该扩展：
pip install django-advanced-filters
然后在代码中使用：
from advanced_filters.filters import Filter
from.models import User
def get_users_by_filter(filter_string):
f = Filter(filter_string)
queryset = f.filter(User.objects.all())
return queryset
解释：
- 安装
django-advanced-filters扩展。 Filter类将接收的过滤器字符串转换为安全的查询，应用于 Django 的查询集，确保 SQL 注入风险得到有效控制。
四、使用 django-db-utils 进行数据库操作
django-db-utils 是另一个第三方工具，可以帮助你进行安全的数据库操作。
首先，安装该扩展：
pip install django-db-utils
然后在代码中使用：
from db_utils import query
def get_users_by_email(email):
sql = "SELECT * FROM users WHERE email = %s"
result = query(sql, [email])
return result
解释：
- 安装
django-db-utils扩展。 query函数会将 SQL 语句和参数列表传递给数据库，确保使用参数化查询，避免 SQL 注入。
五、自定义安全的 SQL 执行函数
你可以创建自定义的函数，确保在执行 SQL 语句时使用参数化。
from django.db import connection
def safe_execute_sql(sql, params):
with connection.cursor() as cursor:
cursor.execute(sql, params)
results = cursor.fetchall()
return results
def get_users_by_age(age):
sql = "SELECT * FROM users WHERE age > %s"
return safe_execute_sql(sql, [age])
解释：
safe_execute_sql函数接收 SQL 语句和参数列表，确保使用参数化查询。- 在
get_users_by_age函数中，调用safe_execute_sql函数，将age作为参数安全地传递给 SQL 查询。
综上所述，虽然 Django 的 ORM 是避免 SQL 注入的首选方式，但在一些情况下，你可以使用底层数据库连接对象的参数化查询，或者借助一些第三方扩展和自定义函数来确保在进行 SQL 操作时避免 SQL 注入漏洞。但无论使用哪种方法，关键在于始终将用户输入作为参数传递，而不是将其直接嵌入到 SQL 语句中。
