Какие подходы используются для защиты от инъекций

В Python для защиты от инъекций (SQL, XSS, shell-инъекций) применяют:

1. Параметризованные запросы (SQL):
   python

   Копировать

   cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))

   Используйте ORM (Django ORM, SQLAlchemy) — они автоматически экранируют данные.

2. Экранирование HTML (XSS):

   python

   Копировать

   from markupsafe import escape
   escaped = escape("<script>alert('XSS')</script>")

   В шаблонизаторах (Jinja2, Django Templates) экранирование включено по умолчанию.

3. Shell-инъекции:

   python

   Копировать

   import subprocess
   subprocess.run(["ls", "-l", user_input])  # Безопасно  

   Избегайте shell=True и передавайте аргументы списком.

4. Валидация и санация данных:
   Используйте библиотеки (bleach для HTML, pydantic для валидации).

5. CSP (Content Security Policy) — защита от XSS на уровне браузера.

Ключевое правило: Никогда не доверяйте пользовательскому вводу!