python使用PyMySQL实现mysql增删改查及防注入

最新推荐文章于 2025-08-08 16:00:32 发布

原创最新推荐文章于 2025-08-08 16:00:32 发布 · 206 阅读

CC 4.0 BY-SA版权

本文介绍了如何在Python中使用PyMySQL库连接和操作MySQL数据库，包括增删改查的基本操作，并重点讨论了如何防止SQL注入，以确保数据安全。示例代码演示了动态构建SQL语句并利用pymysql的execute方法自动转义特殊字符，降低注入风险。

介绍

pymysql是python中访问mysql的库。由于要在阿里的函数计算中访问mysql，对于云数据库RDS阿里没有提供python内置模块，需要使用自定义模块。最后选用的pymysql

连接

try:
  db = pymysql.connect(host="XXAAcom", 
                       user="AA", 
                            password="XX", 
                            db="dbname",
                            charset='utf8mb4',
                            connect_timeout=1,
                            cursorclass=pymysql.cursors.DictCursor)
except pymysql.OperationalError as e:
  return "connect error:%s"%(e)

connect_timeout设置的是超时时间，单位秒，可以给小数，比如0.1则为100ms
连接超时会给出pymysql.OperationalError错误类型，注意此错误类型的具体内容会显示host地址。

增删改查

pymysql的一切操作基于游标cursor，首先通过db.cursor()获取一个，然后进行sql执行。

执行sql命令：cursor.execute(sql_text,param)，其中sql_text为标准sql语句,可以使用%s等占位符标记各个变量，并在param中给出参数值。

对于增、删、改，在执行完execute后需要执行db.commit()，提交数据使修改操作生效。

对于查，执行完execute后在cursor中存储了结果，可以通过cursor.fetchall()获取所有结果，可以直接打印，打印效果为json格式。fetchone获取返回的第一个结果，fetchmany(n)获取n行结果。

除execute以外还有executemany可以执行多次相同sql不同参数的操作，范例如下(增删改只提供了增，另外两个只需要修改sql字符串即可)：

try:
  db = pymysql.connect(…………)
except Exception as e:
  return "connect error:%s"%(e)
cursor = db.cursor()
insert_sql = "INSERT INTO test(id,text,time) VALUES (%s,%s,NOW())"
try:
  cursor.execute(insert_sql,(1003,"zltest"))
  db.commit()
except Exception as e:
  db.rollback()
  return "insert sql run error:%s"%(e,)
finally:
  cursor.close()
  
cursor2=db.cursor()  
select_sql="select * from test where test.id = %s"
try:
  cursor2.execute(select_sql,(1000,))
  row = cursor2.fetchone()
  return row
except Exception as e:
  db.rollback()
  return "select sql run error:%s"%(e,)
finally:
  cursor2.close()

db.close()
return "run ok"

字段id是int类型，在sql字符串中任何类型都可以用%s占位，但是在execute的参数中，一定要保证传入的类型与字段类型一致

防止SQL注入

对于上述的例子：
insert_sql = “INSERT INTO test(id,text,time) VALUES (%s,%s,NOW())”
可以通过python的语法动态构成sql命令：
insert_sql = “INSERT INTO test(id,text,time) VALUES (%s,%s,NOW())”%(id_value,text_value)
id_value和text_value为用户传入的内容
使用python可能会出现注入风险，当然可以自行检查传入的内容是否符合要求

建议直接使用pymysql的execute方法，在传入insert_sql字符串后第二个参数传入需要替换的参数，pymysql会自行对特殊符号进行转义处理，范例见上

Techie亮博客，转载请注明：Coologic » python使用PyMySQL实现mysql增删改查及防注入

Coologic 博客域名已更改，已从 www.techieliang.com 改为 www.coologic.cn，上述链接地址受到影响，若需查看源文请手动修改，多有不便，敬请谅解。