Python：MySQL与python的交互，防止sql注入

python中使用MySQL的模块

import pymysql

python中使用MySQL的基本流程

·

python中使用MySQL的代码模板

from pymysql import *

# 创建connection连接
conn = connect(host="localhost",port=3306,user="root",password="mysql",database="本地数据库名称", charset="utf8"）

# 获得cursor对象
cs = conn.cursor()

# 输入sql语句,cout中保存的是通过sql语句受到影响的行数
cout = cs.execute("sql语句")

# 打印sql语句获取的内容
cs.fetchone() # 一次打印一条内容（以元组的形式）
cs.fetchmany(numb) # 一次打印numb条内容（以元组的形式）
cs.fetchall() # 一次打印所有内容（以元组的形式）

# 当写入的sql语句是增删改时，commit()方法用来提交之前多次执行过的execute(sql语句(增删改))方法
conn.commit()

# 关闭cursor对象
cs.close()

# 关闭连接
conn.close()

·

注：这里如果用pymysql无法创建connection本地连接，出现错误（pymysql.err.OperationalError: (1045, u"Access denied for user 'root'@'localhost' (using password: No)")）
可在终端进入mysql，并输入

ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'yourpassword';

原因：
更换密码的认证方式，新版mysql使用的caching_sha2_password，换成mysql_native_password就可以连上了

·

·

● 当execute()中写入的sql语句为增删改时，每执行一句execute()，数据库中并不会显示写入的操作，只有在最后调用conn.commit()方法时，才会将之前所执行过的所有execute()进行提交，从而对数据据库进行操作

● 为了防止多个程序同时对一个数据库进行增删改，最后调用commit()方法必挂，所有每执行一句execute(sql语句)时，该表的auto_increment会自动增加

● 在调用conn.commit()方法之前，如果想撤销之前的增删改操作，则可以调用conn.rollback()，此方法必须在commit()方法调用之前调用才有效，但是即便撤销了，auto_increment 数值也已经发生了改变

·

·

关于sql注入

在用户进行查询时，用户输入的内容会填到sql语句中然后对数据库进行操作，当用户输入的内容（例如 ' or 1=1 or ' ）匹配到sql语句中可配通，（这里整句话相当于true），则可直接对数据库进行操作

例：

s_name = input("请输入要查询的内容：")
self.cs.execute("""select * from goods where name="%s";""" % s_name)
print(self.cs.fetchall())

实验结果：

·

简单防止sql注入

s_name = input("请输入要查询的内容：")
# execute方法会自动将列表中的元素替换到sql语句中的%s
self.cs.execute("select * from goods where name=%s;", [s_name])
print(self.cs.fetchall())

实验结果：