sql语句拼接时,添加单引号

在编写存储过程的时候,遇到拼接字符串需要加单引号,浪费了点时间,现在写出来以备后用,(提醒自己别忘了这么简单的事)

变量定义时间类型的,定义为字符串类型,例子如下:

Create PROCEDURE dbo.Student
(
 @Level int,
 @ClassName varchar(1000),
 @Start  varchar(50),
 @End varchar(50)
)
AS
declare @sql nvarchar(1000)

  set  @sql='select * from  Student
      where status=0  and Level='+str(@Level )+'  and ClassName=@ClassName and (DateTime between '' ' +@OutDaStart  eStart+' '' and '' '+@End +''')   
      order by datetime'
      
exec sp_executesql @sql
  
RETURN


sql语句是自己随便写的,主要是记住怎么添加单引号。




在Python3中拼接SQL语句,为了防止SQL注入攻击,应该避免直接拼接字符串,因为这样做可能会引发单引号转义问题,进而导致SQL注入安全漏洞。正确的做法是使用参数化查询,这样数据库驱动会自动处理单引号和其它特殊字符的转义问题。下面给出几个使用参数化查询的例子: 1. 使用原生SQL和参数化查询(以MySQL为例): ```python import mysql.connector # 假设已经建立了数据库连接 conn cursor = conn.cursor() user_id = 123 query = "SELECT * FROM users WHERE id = %s" cursor.execute(query, (user_id,)) ``` 2. 使用ORM框架(例如SQLAlchemy): ```python from sqlalchemy import create_engine, Table, Column, Integer, String, MetaData engine = create_engine('mysql://username:password@localhost/dbname') metadata = MetaData() users = Table('users', metadata, Column('id', Integer, primary_key=True), Column('name', String(50))) user_id = 123 query = users.select().where(users.c.id == user_id) result = engine.execute(query).fetchone() ``` 3. 使用sqlite3模块: ```python import sqlite3 conn = sqlite3.connect('example.db') cur = conn.cursor() user_id = 123 query = "SELECT * FROM users WHERE id = ?" cur.execute(query, (user_id,)) for row in cur: print(row) ``` 在以上示例中,`%s`、`%s`和`?`都是参数占位符,用于代替直接拼接的变量值。数据库驱动会负责将这些占位符替换为适当的值,并自动处理任何必要的转义,从而防止SQL注入。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值