在 Python 和 sqlite 中转义字符

Question

我有一个 python 脚本，可以将原始电影文本文件读入 sqlite 数据库。

我使用 re.escape(title) 将转义字符添加到字符串中，以使它们在执行插入之前安全。

为什么这不起作用：

In [16]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='\'Allo\ \'Allo\!\"\ \(1982\)'")
--------------------------------------------------------------------------- OperationalError                       Traceback (most recent call last)

/home/rajat/Dropbox/amdb/<ipython console> in <module>()

OperationalError: near "Allo": syntax error

但是这有效（在两个地方删除了 \'）：

In [17]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='Allo\ Allo\!\"\ \(1982\)'") Out[17]: <sqlite3.Cursor object at 0x9666e90>

我想不通。我也不能放弃那些主要的引语，因为它们实际上是电影标题的一部分。 谢谢。

Answer 1

你做错了。字面上地。您应该使用参数，如下所示：

c.execute("UPDATE movies SET rating = ? WHERE name = ?", (8.7, "'Allo 'Allo! (1982)"))

这样，您根本不需要进行任何引用，并且（如果这些值来自不受信任的任何人）您也将 100% 安全地（此处）免受 SQL 注入攻击.

Answer 2

我使用 re.escape(title) 添加转义 将字符转换为字符串以使它们成为 db 安全

请注意，re.escape 使字符串 re-安全 -- 与使其 db 安全无关。相反，正如@Donal 所说，您需要的是 Python DB API 的 参数替换 概念 -- 这 可以根据您的需要使事情“数据库安全”。

Answer 3

SQLite 不支持反斜杠转义序列。字符串文字中的撇号通过将它们加倍来表示：'''Allo ''Allo! (1982)'。

但是，正如多纳尔所说，您应该使用参数。

Answer 4

我有一个简单的技巧可以用来解决这个问题： 如果您的 SQL 语句字符串有单引号：'，那么您可以使用双引号将您的语句字符串括起来。当您的 SQL 语句字符串有双引号时："，那么您可以使用单引号：" 将您的语句字符串括起来。 例如

sqlString="UPDATE movies SET rating = '8.7' WHERE name='Allo Allo !' (1982 )"
c.execute(sqlString)

或者，

sqlString='UPDATE movies SET rating = "8.7" WHERE name="Allo Allo !" (1982 )'
c.execute(sqlString)

此解决方案适用于 Python 环境。