忠告：使用pymysql的时候，不要用cursor.execute自带的格式化输入，尤其是sql中引号比较多的时候

原创

于 2021-06-11 16:31:50 发布 · 3.7k 阅读

CC 4.0 BY-SA版权

文章标签：

在使用pymysql执行SQL时，遇到因字符串格式化和转义问题导致的错误。尝试了多种方法，如添加转义字符和使用escape_string()，但都未能成功。最终解决方案是利用Python内置的格式化方式预处理SQL参数，确保正确执行并避免潜在的安全风险。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在使用pymysql向数据库传入sql语句的时候，轻信了pymysql官方文档中的案例

我的sql需求如下

SELECT count(1)
FROM
	`test_img2` 
WHERE
	version = 'v5.02' AND FIND_IN_SET('"safetySign":0', recsign)
	-- 其中v5.02需要用变量传入，safetySign和后边的0都是需要变量传入的参数

使用以下Python代码（仿照官方文档案例，用cursor.execute()传参