Day1

本文深入讲解Python编程的基础知识,包括字符串操作、条件语句、数据结构如列表与字典的使用,以及范围生成器和常见错误解析。文章还介绍了如何通过input函数收集用户输入,并演示了不同类型数据间的转换方法。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

print()

‘’ 与 ""没有明显区别
‘’’ 可以在每个标点符号后实现换行
\n 换行
d

2**3 //2的三次方

在Python的print输出中,字符串只能与字符串拼接,可使用type()函数查询类型

str()

将任何变量转换为字符串类型

if语句

if a>=6:
print()
else:
print
3<stonenumber<=5
num=0
if num>=4:
    print('fansha')
elif 1<=num<=3:
    print('shusiyibo')
else: print('jingqi')

input()

input('请铲屎官输入宠物的名字:')
#运用input函数搜集信息
name = input('内容')
#函数赋值

列表

students = ['党志文', '浦欣然', '罗鸿朗', '姜信然', '居俊德', '宿鸿福', '张成和', '林景辉', '戴英华', '马鸿宝']
for i in students:

list2 = [5,6,7,8,9]
print(list2[:])
print(list2[2:])

左要取,右不取

append()

del()

左要取,右不取

字典

适用于两种数据存在一一对应的情况
字典中的键具备唯一性,而值可重复

scores = {'小明':95,'小红':90,'小刚':90}

删除字典里键值对的代码是del语句del 字典名[键],而新增键值对要用到赋值语句字典名[键] = 值
列表有序,要用偏移量定位;字典无序,便通过唯一的键来取值
我们用print(i)把“空房间”i打印了出来,发现i会逐个接待字典中的每一个【键】

range()

可以生成0~x-1的整数序列

for i in range(0,10,3):
    print(i)
    # 表示从0-10每隔3取数

tab error

Python中 Tab 与 空格不能等同

<think>我们正在讨论的是不使用预处理语句(即不使用prepareexecute)来执行UPDATE查询。在PDO中,我们可以使用`exec()`方法或`query()`方法直接执行SQL语句。但是,请注意,直接执行SQL语句需要我们自己构建SQL字符串,这可能会引入SQL注入的风险。因此,如果使用这种方式,必须确保所有插入到SQL语句中的值都是安全的(例如,已经过适当的转义或验证)。 然而,用户提供的SQL语句中有参数(用?占位),这通常用于预处理语句。如果我们不使用预处理语句,就需要将这些参数值直接插入到SQL字符串中。因此,我们需要做以下几步: 1. 获取所有要更新的值(即原本绑定到?的值)。 2. 将这些值进行适当的转义(防止SQL注入)。 3. 构建完整的SQL字符串。 4. 使用`exec()`或`query()`执行。 但是,请注意,PDO提供了`quote()`方法用于转义字符串,但要注意它可能会在字符串周围添加单引号,所以对于非字符串类型(如整数)可能需要额外处理(或者确保在SQL语句中字符串值有引号,而数字则不需要)。 另外,由于用户提供的SQL语句中使用了?占位符,我们需要将这些占位符替换为实际的值,并确保字符串值被正确引用。 示例SQL语句: UPDATE ctb_eeee SET day1=?, day2=?, day3=?, day4=?, day5=?, day6=? WHERE project=? AND module=? AND eeee=? 假设我们有一个数组$data,包含day1day6的值,以及$project, $module, $eeee三个值。 步骤: 1. 创建一个数组,包含所有要更新的字段值(day1day6)条件值(project, module, eeee),顺序与SQL中的?顺序一致。 2. 遍历这个数组,对每个值进行适当的转义格式化(字符串需要加引号,数字可以不加,但为了安全,我们使用PDO::quote(),它会自动处理字符串,并返回带引号的字符串。对于数字,我们可以选择不转义,但为了统一,我们可以判断类型,或者全部用quote转义,但要注意quote转义后字符串有引号,所以SQL语句中原本的占位符在替换时,如果是字符串,替换后就是带引号的,而数字则会被转成字符串并带引号,这可能导致SQL错误(因为数字字段不应该有引号)。因此,我们需要知道每个参数的数据类型。 由于不确定每个字段的类型,这里有一个折中的办法:对于数字类型的字段,我们使用强制类型转换(如(int)),然后直接拼接到SQL中(因为数字是安全的,不需要引号)。对于字符串,使用PDO::quote()进行转义。 但是,我们不知道每个字段的类型,所以另一种方法是全部使用quote转义,然后替换。这样,数字字段也会被加上引号,但SQLite是弱类型,所以可能可以接受(但这不是好习惯)。 因此,最好的做法是知道每个字段的类型,然后分别处理。如果不知道,我们可以假设所有day字段都是数字,而条件字段(project, module, eeee)是字符串。但实际情况可能不同。 为了简化,我们假设所有值都是字符串,并使用PDO::quote()进行转义。这样生成的SQL语句中,每个值都被单引号括起来。在SQLite中,如果字段是数值类型,它会自动转换,但可能影响性能,也可能导致类型错误(如果字段是整数,但传入的字符串不能转换为整数,则可能出错)。 因此,我们根据用户的具体情况来处理。以下是一个示例代码: 假设: $day1, $day2, ... $day6 是数值(整数或浮点数),而$project, $module, $eeee是字符串。 那么我们可以这样构建: 注意:由于数值类型不需要引号,所以我们可以直接使用,但必须确保这些值是安全的(即不包含SQL代码)。如果这些数值来自用户输入,我们不能完全信任,但因为是数值,我们可以强制转换成数字类型(如intval, floatval)来确保安全。 步骤: 1. 将数值类型的字段转换为数字(整数或浮点数),这样它们就是安全的,可以直接拼接到SQL字符串中。 2. 对于字符串类型的字段,使用PDO::quote()进行转义。 例如: $day1 = (float)$Day1; // 或者根据实际情况用intval // 然后直接拼接,因为数字是安全的 但是,在SQL语句中,数字可以直接写,所以我们可以这样构建: 示例代码: ```php // 假设我们有以下变量 $day1 = 10; // 这些值可能是从用户输入获取的,但我们已经转换为数字 $day2 = 20; $day3 = 30; $day4 = 40; $day5 = 50; $day6 = 60; $project = "some project"; // 字符串 $module = "some module"; $eeee = "some eeee"; // 创建数据库连接 $db = new PDO('sqlite:yourdatabase.sqlite'); // 构建SET部分,将数值字段直接转换为字符串(注意:确保是数字,安全) $setClause = "day1=" . $day1 . ", " . "day2=" . $day2 . ", " . "day3=" . $day3 . ", " . "day4=" . $day4 . ", " . "day5=" . $day5 . ", " . "day6=" . $day6; // 构建WHERE条件,字符串需要转义 $whereClause = "project=" . $db->quote($project) . " AND " . "module=" . $db->quote($module) . " AND " . "eeee=" . $db->quote($eeee); $sql = "UPDATE ctb_eeee SET " . $setClause . " WHERE " . $whereClause; // 使用exec执行 $affected = $db->exec($sql); if ($affected === false) { // 处理错误 $error = $db->errorInfo(); echo "Error: " . $error[2]; } else { echo "Updated $affected rows"; } ``` 但是,如果day1等字段也可能是字符串(比如包含非数字字符),那么我们就不能直接转换为数字。这时,我们需要知道它们的数据类型。如果都是字符串,那么我们可以全部使用quote转义。 假设所有字段都是字符串,那么: ```php $setClause = "day1=" . $db->quote($day1) . ", " . "day2=" . $db->quote($day2) . ", " . "day3=" . $db->quote($day3) . ", " . "day4=" . $db->quote($day4) . ", " . "day5=" . $db->quote($day5) . ", " . "day6=" . $db->quote($day6); ``` 然后条件部分同样用quote。 所以,关键在于知道字段的类型。如果混合类型,就要分别处理。 另外,注意如果字段值为NULL,那么quote会将其转成空字符串(不是SQL的NULL)。所以,如果允许NULL值,我们需要特殊处理: 例如: $value = $db->quote($value); 如果$value是null,quote会返回一个空字符串(即两个单引号),但我们需要的是NULL(不带引号)。所以,我们可以: ```php function pdoValue($db, $value) { if ($value === null) { return 'NULL'; } return $db->quote($value); } ``` 然后使用这个函数来构建每个值。 总结:不使用预处理语句执行UPDATE查询,我们需要手动构建SQL字符串,并确保所有值都被正确转义格式化,以避免SQL注入语法错误。 但是,强烈建议使用预处理语句,因为它们更安全、更方便。只有在特殊情况下才使用直接执行。 现在,针对用户的具体SQL语句,我们可以这样写(假设所有值都是字符串,并且处理NULL的情况): ```php // 假设$data包含day1day6的值,以及$project, $module, $eeee $values = [ 'day1' => $Day1, 'day2' => $Day2, 'day3' => $Day3, 'day4' => $Day4, 'day5' => $Day5, 'day6' => $Day6 ]; $conditions = [ 'project' => $project, 'module' => $module, 'eeee' => $eeee ]; // 构建SET部分 $setParts = []; foreach ($values as $field => $value) { $setParts[] = "$field=" . ($value === null ? 'NULL' : $db->quote($value)); } $setClause = implode(', ', $setParts); // 构建WHERE条件 $whereParts = []; foreach ($conditions as $field => $value) { $whereParts[] = "$field=" . ($value === null ? 'NULL' : $db->quote($value)); } $whereClause = implode(' AND ', $whereParts); $sql = "UPDATE ctb_eeee SET $setClause WHERE $whereClause"; $affected = $db->exec($sql); // 检查错误... ``` 注意:如果字段是数值类型,并且我们想避免加引号,那么我们需要在循环中判断字段类型(比如根据字段名),但这样需要额外的类型信息。如果无法获得类型信息,且字段可能是数值类型,那么我们可以尝试判断$value是否是数字字符串(使用is_numeric),如果是,则不加引号直接使用(但要确保安全,因为数字字符串是安全的)。但注意,如果数字字符串包含非数字字符(如千位分隔符),则不能直接使用。 因此,最安全的方式还是使用预处理语句。 由于问题要求不使用预处理语句,我们提供了上述方法,但请谨慎使用,并确保数据的安全性。 最后,如果使用SQLite,还可以使用事务来批量执行,但这里只是更新操作,所以不需要。 相关问题: 1. 在PDO中,如何防止SQL注入攻击? 2. 使用PDO的exec()方法预处理语句在性能上有什么差异? 3. 在SQLite中,如何处理NULL值? 4. 如何安全地构建动态SQL查询?</think>### 在 PHP 中不使用预处理语句执行 UPDATE 查询 是的,可以在 PHP 中不使用预处理语句执行 UPDATE 查询,但需注意**安全风险**。以下是两种替代方法及其实现: --- ### 方法 1:使用 `PDO::exec()` 直接执行 SQL 字符串 ```php // 构建完整的 SQL 字符串(注意安全风险!) $sql = sprintf( "UPDATE ctb_eeee SET day1='%s', day2='%s', day3='%s', day4='%s', day5='%s', day6='%s' WHERE project='%s' AND module='%s' AND eeee='%s'", $day1, $day2, $day3, $day4, $day5, $day6, $project, $module, $eeee ); // 直接执行 SQL $affectedRows = $db->exec($sql); if ($affectedRows === false) { echo "更新失败: " . implode(", ", $db->errorInfo()); } else { echo "成功更新 $affectedRows 行"; } ``` **注意事项**: 1. **SQL 注入风险**:所有值必须手动转义 ```php // 使用 PDO::quote() 转义每个值 $safeDay1 = $db->quote($day1); $safeProject = $db->quote($project); // ...其他变量同理 ``` 2. **类型处理**:数字类型值不应加引号 ```php // 假设 day1 是整数 $day1Part = is_numeric($day1) ? $day1 : $db->quote($day1); ``` --- ### 方法 2:使用 `PDO::query()` 执行完整 SQL ```php // 构建安全 SQL(包含转义) $sql = "UPDATE ctb_eeee SET day1=" . $db->quote($day1) . ", day2=" . $db->quote($day2) . ", day3=" . $db->quote($day3) . ", day4=" . $db->quote($day4) . ", day5=" . $db->quote($day5) . ", day6=" . $db->quote($day6) . " WHERE project=" . $db->quote($project) . " AND module=" . $db->quote($module) . " AND eeee=" . $db->quote($eeee); // 执行查询 $stmt = $db->query($sql); if ($stmt) { echo "更新成功"; } else { echo "错误: " . implode(", ", $db->errorInfo()); } ``` --- ### ⚠️ 关键安全警告 1. **必须手动转义所有用户输入值** 使用 `$db->quote($value)` 对每个变量进行转义 ```php // 危险示例(SQL 注入漏洞) $sql = "UPDATE ... WHERE project='$_GET[project]'"; // 安全做法 $sql = "UPDATE ... WHERE project=" . $db->quote($_GET['project']); ``` 2. **数字类型特殊处理** 数值类型不应加引号: ```php // 错误(导致 SQL 错误) $sql = "SET day1='" . $intValue . "'"; // 正确 $sql = "SET day1=" . (int)$intValue; ``` 3. **NULL 值处理** 需特殊处理 NULL 值: ```php $value = ($day1 === null) ? 'NULL' : $db->quote($day1); ``` --- ### 最佳实践建议 | **场景** | **推荐方法** | **原因** | |------------------------------|----------------------------|------------------------------| | 含动态参数 | 预处理语句 (`prepare`+`execute`) | 唯一可靠的防注入方式 | | 完全可信的静态数据 | `PDO::exec()` | 简洁高效 | | 需要结果集 | `PDO::query()` | 直接获取结果集 | | 批量操作 | 事务+预处理语句 | 保证原子性性能[^1] | > **强烈建议**:除非是处理完全可信的内部数据,否则**始终使用预处理语句**。这是防止 SQL 注入的唯一可靠方法[^1]。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值