MySQL parameterized queries

Мне сложно использовать модуль MySQLdb для вставки информации в мою базу данных. Мне нужно вставить 6 переменных в таблицу.

cursor.execute ("""
    INSERT INTO Songs (SongName, SongArtist, SongAlbum, SongGenre, SongLength, SongLocation)
    VALUES
        (var1, var2, var3, var4, var5, var6)

""")

Может кто-нибудь помочь мне с синтаксисом здесь?

Источник

7 ответов

Решение

Остерегайтесь использования строковой интерполяции для запросов SQL, так как она не будет корректно экранировать входные параметры и оставит ваше приложение открытым для уязвимостей внедрения SQL. Разница может показаться незначительной, но на самом деле она огромна.

Неверно (с проблемами безопасности)

c.execute("SELECT * FROM foo WHERE bar = %s AND baz = %s" % (param1, param2))

Правильно (с побегом)

c.execute("SELECT * FROM foo WHERE bar = %s AND baz = %s", (param1, param2))

Это добавляет к путанице, что модификаторы, используемые для привязки параметров в операторе SQL, варьируются между различными реализациями API БД и что клиентская библиотека mysql использует printf синтаксис стиля вместо более распространенного "?" маркер (используется, например, python-sqlite).

Источник

У вас есть несколько вариантов. Вы захотите освоиться с итерполяцией строк в Python. Какой термин вы могли бы иметь больше успеха в поиске в будущем, когда вы хотите знать такие вещи, как это.

Лучше для запросов:

some_dictionary_with_the_data = {
    'name': 'awesome song',
    'artist': 'some band',
    etc...
}
cursor.execute ("""
            INSERT INTO Songs (SongName, SongArtist, SongAlbum, SongGenre, SongLength, SongLocation)
            VALUES
                (%(name)s, %(artist)s, %(album)s, %(genre)s, %(length)s, %(location)s)

        """, some_dictionary_with_the_data)

Учитывая, что все ваши данные, вероятно, уже есть в объекте или словаре, второй формат подойдет вам лучше. Также отстойно считать "%s" появления в строке, когда вам нужно вернуться и обновить этот метод через год:)

Источник

Связанные документы дают следующий пример:

   cursor.execute ("""
         UPDATE animal SET name = %s
         WHERE name = %s
       """, ("snake", "turtle"))
   print "Number of rows updated: %d" % cursor.rowcount

Так что вам просто нужно адаптировать это к вашему собственному коду - пример:

cursor.execute ("""
            INSERT INTO Songs (SongName, SongArtist, SongAlbum, SongGenre, SongLength, SongLocation)
            VALUES
                (%s, %s, %s, %s, %s, %s)

        """, (var1, var2, var3, var4, var5, var6))

(Если SongLength числовой, вам может потребоваться использовать%d вместо%s).

Источник

На самом деле, даже если ваша переменная (SongLength) является числовой, вам все равно придется отформатировать ее с%s, чтобы правильно связать параметр. Если вы попытаетесь использовать%d, вы получите ошибку. Вот небольшая выдержка из этой ссылки http://mysql-python.sourceforge.net/MySQLdb.html:

Для выполнения запроса сначала необходим курсор, а затем вы можете выполнить запросы к нему:

c=db.cursor()
max_price=5
c.execute("""SELECT spam, eggs, sausage FROM breakfast
          WHERE price < %s""", (max_price,))

В этом примере max_price=5 Зачем тогда использовать%s в строке? Потому что MySQLdb преобразует его в литеральное значение SQL, которое представляет собой строку "5". Когда он закончится, запрос на самом деле скажет: "... ГДЕ цена < 5".

Источник

В качестве альтернативы выбранному ответу и с той же безопасной семантикой, что и у Марселя, здесь представлен компактный способ использования словаря Python для задания значений. Его преимущество в том, что его легко изменять, когда вы добавляете или удаляете столбцы для вставки:

  meta_cols=('SongName','SongArtist','SongAlbum','SongGenre')
  insert='insert into Songs ({0}) values ({1})'.
        .format(','.join(meta_cols), ','.join( ['%s']*len(meta_cols) ))
  args = [ meta[i] for i in meta_cols ]
  cursor=db.cursor()
  cursor.execute(insert,args)
  db.commit()

Где meta - это словарь, содержащий значения для вставки. Обновление можно сделать так же:

  meta_cols=('SongName','SongArtist','SongAlbum','SongGenre')
  update='update Songs set {0} where id=%s'.
        .format(','.join([ '{0}=%s'.format(c) for c in meta_cols ]))
  args = [ meta[i] for i in meta_cols ]
  args.append( songid )
  cursor=db.cursor()
  cursor.execute(update,args)
  db.commit()
Источник

Первое решение работает хорошо. Я хочу добавить одну маленькую деталь здесь. Убедитесь, что переменная, которую вы пытаетесь заменить / обновить, должна иметь тип str. Мой тип MySQL является десятичным, но я должен был сделать параметр переменным как str, чтобы иметь возможность выполнить запрос.

temp = "100"
myCursor.execute("UPDATE testDB.UPS SET netAmount = %s WHERE auditSysNum = '42452'",(temp,))
myCursor.execute(var)
Источник

Вот еще один способ сделать это. Это задокументировано на официальном сайте MySQL. https://dev.mysql.com/doc/connector-python/en/connector-python-api-mysqlcursor-execute.html

В духе, он использует ту же механику ответа @Trey Stout. Тем не менее, я считаю, что это красивее и удобочитаемее.

insert_stmt = (
  "INSERT INTO employees (emp_no, first_name, last_name, hire_date) "
  "VALUES (%s, %s, %s, %s)"
)
data = (2, 'Jane', 'Doe', datetime.date(2012, 3, 23))
cursor.execute(insert_stmt, data)

И чтобы лучше проиллюстрировать любую потребность в переменных:

NB: обратите внимание, что побег делается.

employee_id = 2
first_name = "Jane"
last_name = "Doe"

insert_stmt = (
  "INSERT INTO employees (emp_no, first_name, last_name, hire_date) "
  "VALUES (%s, %s, %s, %s)"
)
data = (employee_id, conn.escape_string(first_name), conn.escape_string(last_name), datetime.date(2012, 3, 23))
cursor.execute(insert_stmt, data)
Источник
Другие вопросы по тегам