带有 SQL 通配符和 LIKE 的 Python 字符串格式

Question

我很难让 python 中的一些 sql 正确地通过 MySQLdb。是 pythons 字符串格式让我很生气。

我的 sql 语句使用带通配符的 LIKE 关键字。我在 Python 中尝试了许多不同的东西。问题是，一旦我让其中一个工作起来，MySQLdb 中有一行代码会在字符串格式上打嗝。

尝试 1：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query)

这是不行的。我得到值错误：

ValueError: 索引 128 处不支持的格式字符 ''' (0x27)

尝试 2：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '\%%s\%'" % （查询）

我从尝试 1 中得到相同的结果。

尝试 3：

like = "LIKE '%" + str(query) + "%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

这会正确创建 totalq 变量，但现在当我运行查询时，我从 MySQLdb 收到错误：

文件“build/bdist.macosx-10.6-universal/egg/MySQLdb/cursors.py”，行 158、在执行query = query % db.literal(args) TypeError: not enough 格式字符串的参数

尝试 4：

like = "LIKE '\%" + str(query) + "\%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

这与尝试 3 的输出相同。

这一切看起来真的很奇怪。 python 如何在sql语句中使用通配符？

Answer 1

这些查询似乎都容易受到 SQL 注入攻击。

试试这样的方法：

curs.execute("""SELECT tag.userId, count(user.id) as totalRows 
                  FROM user 
            INNER JOIN tag ON user.id = tag.userId 
                 WHERE user.username LIKE %s""", ('%' + query + '%',))

有两个参数传递给execute()。

Answer 2

这与字符串格式无关，问题在于如何根据 Python 中的数据库操作要求执行查询 (PEP 249)

试试这样的：

sql = "SELECT column FROM table WHERE col1=%s AND col2=%s" 
params = (col1_value, col2_value)
cursor.execute(sql, params)

here are some examples for psycog2 那里有一些解释也应该对 mysql 有效（mysqldb 也遵循 PEP249 dba api 指导 2.0：here are examples for mysqldb）

Answer 3

要在 Python 字符串格式化表达式中转义 & 符号，请将 & 符号加倍：

'%%%s%%' % search_string

编辑：但我绝对同意另一个答案。 SQL 查询中的直接字符串替换几乎总是一个坏主意。

Answer 4

我们可以尝试通过将百分比字符加倍来转义，如下所示：

query_to_get_user_name = """ 
SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag 
ON user.id = tag.userId 
WHERE user.username LIKE '%%%s%%' """ % (user_name,) 

cursor.execute(query_to_get_user_name)

Answer 5

import mysql.connector
mydatabase = mysql.connector.connect(host="localhost", user="root", passwd="1234", database="databaseName")
mycursor = mydatabase.cursor()
user_input =[]
item = str("s%")
user_input.append(item)
mycursor.execute("SELECT * FROM employees WHERE FIRST_NAME LIKE %s ESCAPE ''",user_input )
result = mycursor.fetchall()
for row in enumerate(result):
    print(row)

Answer 6

所以我尝试了这个，我想我得到了一个更容易理解的答案，一个学生。 在我的代码中，表名是“books”，我要搜索的列是“Name”。 如果您需要更多解释，请随时发送邮件至 dhruv2003.joshi@gmail.com，我会尽力尽快回复

def S():

        n=str(input('Enter the name of the book: '))

        name='%'+n+'%'

        NAME=name

        query="select * from books where Name like '"+NAME+"' "

        c.execute(query)

        ans=c.fetchall()
        
        if len(ans)>0:
            print('')

            for i in ans:

                print(i)

             print('')

        else:
            print('')

            print('An error occured')

            print('Name you gave does not exist :( ')

            print('')

Answer 7

我有办法解决你的问题：

你不能使用：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query)

你可以用字符串模板来改变它，比如：

import MySQLdb
import string # string module
.......
value = {'user':'your value'}
sql_template = string.Template("""
SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN
tag ON user.id = tag.userId WHERE user.username LIKE '%$user%'
""")

sql = sql_template.substitute(value)

try:
    cursor.execute(sql)
    ...........
except:
    ...........
finally :
   db.close()