pymysql sql语句中引号问题

# v1.0.0及以上
from pymysql.converters import escape_string
# v0.10.1及以下
from pymysql import escape_string

#data为含有单引号或者双引号的字符串
string = escape_string(string)

动态创建查询 SQL 语句可以使用 Python 的字符串格式化功能和条件语句来实现。例如,假设我们有一个表格叫做 `users`,它有三个字段:`id`,`name` 和 `age`,我们想要查询年龄大于等于 18 岁的用户,可以使用以下代码: ```python import pymysql # 连接数据库 conn = pymysql.connect(host='localhost', user='root', password='password', db='test') # 获取游标 cursor = conn.cursor() # 定义查询语句模板 sql_template = "SELECT * FROM users WHERE age >= %s" # 定义参数 age_limit = 18 # 动态创建查询语句 sql = sql_template % age_limit # 执行查询 cursor.execute(sql) # 获取结果 result = cursor.fetchall() # 输出结果 print(result) # 关闭游标和连接 cursor.close() conn.close() ``` 在这个例子中,我们定义了一个查询语句模板 `sql_template`,其中 `%s` 是一个占位符,表示后面会传入一个参数。我们定义了一个 `age_limit` 参数,然后使用字符串格式化将其插入到查询语句模板中,生成最终的查询语句 `sql`。最后,我们执行查询并获取结果。 注意,在使用字符串格式化时,应该使用 `%s` 占位符来表示参数。如果使用其他占位符,如 `%d` 或 `%f`,可能会导致 SQL 注入等安全问题。此外,如果需要在查询语句中插入字符串参数,需要使用引号将其括起来,例如: ```python sql_template = "SELECT * FROM users WHERE name = '%s'" name = 'Alice' sql = sql_template % name ``` 但是这种方式也存在 SQL 注入的风险,因此建议使用参数化查询来保证安全。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值