Python/MySQL组合的最佳转义字符策略是什么？

Question

这是我的查询。

cursor2.execute("update myTable set `"+ str(row[1]) +"` = \"'" + str(row[3]) +"'\" where ID = '"+str(row[0])+"'") 

行值有双引号“some value”时失败。我如何逃避所有特殊字符？

Answer 1

下面是一个例子：

import MySQLdb 
column = str(MySQLdb.escape_string(row[1])) 
query = "update myTable set %(column)s = %%s where ID = %%s" % dict(column = column) 
cursor2.execute(query, [row[3], row[0]]) 

更新

这里是一个简短的评论：

column = str(MySQLdb.escape_string(row[1])) 

总是一个好主意，以逃避任何进入查询。在这种情况下，我们正在动态地添加一个列名，因此在查询执行之前它必须被转义。

query = "update myTable set %(column)s = %%s where ID = %%s" % dict(column = column) 

我在这里形成查询。我试图实现两件事情：（1）使用上一行（2）中声明的column变量填充的列名形成查询，添加将在查询执行期间由实际参数填充的占位符。

片段dict(column = column)实际上是创建字典{'column': column}的另一种方式。这可以使用dict构造函数。我不想 只填写其他地方的持有人，所以我使用两个百分号（%%）逃脱他们。

cursor2.execute(query, [row[3], row[0]]) 

最后执行查询。如果您在执行前打印查询，您将看到字符串update myTable set column_name = %s where ID = %s。

Answer 2

对于值，您应该使用准备好的查询来嵌入它们。对于排，我不太确定...这取决于你的设置。您可能想要接受ASCII值32以上的任何字符，但不包括未转义的反引号。不过，不要认为这有一个特定的功能。

cursor2.execute("UPDATE myTable SET `" + str(row[1]) + "` = ? WHERE ID = ?", (row[3], row[1])) 

准备好的查询有问号里应该有变量，你在列表中通过或元组为第二个参数指定什么他们应该被取代。司机将负责保证值的安全。尽管如此，你只能在需要价值的地方放置讯问标记;所以你不能使用它们作为列名。

Answer 3

你应该学会使用查询参数：

colname = str(row[1]).replace("`", "\\`") 
sql = "update myTable set `%s` = :col1 WHERE ID = :id" % (colname) 
cursor2.execute(sql, {"col1":str(row[3]), "id":str(row[0])}) 

Answer 4

当你使用Oracle MySql connector你能逃脱在后续的方式特殊字符：

import mysql.connector 
from mysql.connector import conversion 

query = "SELECT id, code, name, description FROM data WHERE code='{:s}'" 

escaped_text = conversion.MySQLConverter().escape(unescaped_text) 

cursor.execute(query.format(escaped_text))