Python中使用變數執行SQL語句
P粉731977554
P粉731977554 2023-10-12 15:06:00
0
2
699

我有以下Python程式碼:

cursor.execute("INSERT INTO table VALUES var1, var2, var3,")

其中 var1 是整數,var2var3 是字串。

如何在不使用 Python 的情況下編寫變數名稱(將其作為查詢文字的一部分)?

P粉731977554
P粉731977554

全部回覆(2)
P粉718165540

Python DB-API 的不同實作允許使用不同的佔位符,因此您需要找出您正在使用的佔位符 - 可能是(例如使用 MySQLdb):

cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

或(例如,使用 Python 標準函式庫中的 sqlite3):

cursor.execute("INSERT INTO table VALUES (?, ?, ?)", (var1, var2, var3))

或其他(在VALUES 之後,您可以有(:1, :2, :3) 或「命名樣式」 (:fee, : fie, :fo)(%(fee)s, %(fie)s, %(fo)s) ,其中您將字典而不是映射作為第二個參數傳遞給執行)。檢查您正在使用的DB API 模組中的paramstyle 字串常數,並在http://www.python.org/dev/peps/pep-0249/ 查看所有參數傳遞樣式是什麼!

P粉521697419
cursor.execute("INSERT INTO table VALUES (%s, %s, %s)", (var1, var2, var3))

請注意,參數以元組形式傳遞,(a, b, c)。如果您傳遞單一參數,則元組需要以逗號結尾,(a,)

資料庫 API 對變數進行正確的轉義和引用。注意不要使用字串格式化運算子(%),因為

  1. 它不進行任何轉義或引用。
  2. 很容易遭受不受控制的字串格式攻擊,例如SQL_injection
熱門教學
更多>
最新下載
更多>
網站特效
網站源碼
網站素材
前端模板