python向mysql插入特殊字符

MySQL特殊字符处理

最新推荐文章于 2023-12-22 15:32:37 发布

weixin_33866037

最新推荐文章于 2023-12-22 15:32:37 发布

阅读量341

点赞数

CC 4.0 BY-SA版权

文章标签：数据库 python

原文链接：https://my.oschina.net/u/2000675/blog/808264

本文介绍在使用Python操作MySQL数据库时如何正确处理字符串中的特殊字符，包括单引号和双引号等，通过不同方式演示了如何避免SQL注入风险。

2019独角兽企业重金招聘Python工程师标准>>>

向MySQL数据库插入数据时经常会碰到一些特殊字符，如单引号，双引号。

name = "\\"; 
name2 = "\""
注意： cursor.execute()可以接受一个参数，也可以接受两个参数：
(1) cursor.execute("insert into resource(cid,name) values(%s, %s)" , (12,name) );
    这种格式是接受两个参数，MySQLdb会自动替你对字符串进行转义和加引号，不必再自己进行转义，执行完此语句之后，resource表中多了一条记录： 12   \
(2) cursor.execute("insert into resource(cid,name) values(%s, %s)" % (12,name) );
    这种格式是利用python的字符串格式化自己生成一个query，也就是传给execute一个参数，此时必须自己对字符串转义和增加引号，即上边的语句是错误的，应该修改为：
    name = MySQLdb.escape_string(name);
    cursor.execute("insert into resource(cid,name) values(%s, '%s')" % (12,name) );
    这样插入的记录才和(1)一样：12   \
（3）如果是命令行sql语句，我们可以先对变量 MySQLdb.escape_string(name) 进行转换再写入。

转载于:https://my.oschina.net/u/2000675/blog/808264