带有SQL通配符和喜欢的Python字符串格式

Question

我很难在python中获得一些sql来正确地通过MySQLdb。这是pythons字符串格式，这是杀了我。

我的sql语句使用LIKE关键字和通配符。我在Python中尝试了许多不同的东西。问题是一旦我得到其中一个工作，MySQLdb中有一行代码以字符串格式进行打包。

尝试1：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query)

这是一个没有去。我得到的值错误：

ValueError: unsupported format character ''' (0x27) at index 128

尝试2：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '\%%s\%'" % (query)

我从尝试1.

尝试3相同的结果：

like = "LIKE '%" + str(query) + "%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

这正确创建totalq变量，但现在当我去运行查询时，我从MySQLdb中收到错误：

File "build/bdist.macosx-10.6-universal/egg/MySQLdb/cursors.py", line 158, in execute query = query % db.literal(args) TypeError: not enough arguments for format string

尝试4：

like = "LIKE '\%" + str(query) + "\%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

这是企图3.

输出相同的这一切似乎真的很奇怪。如何在python中使用sql语句中的通配符？

Answer 1

这不是字符串格式化，但问题是如何查询应根据在Python数据库操作要求（PEP 249）

尝试这样执行：

sql = "SELECT column FROM table WHERE col1=%s AND col2=%s" 
params = (col1_value, col2_value) 
cursor.execute(sql, params) 

here are some examples for psycog2，你有一些解释那也应该对mysql有效（mysqldb也遵循PEP249 dba api指导2。0：here are examples for mysqldb）

Answer 2

为了逃避Python中的字符串格式化表达式＆符号，双符号：

'%%%s%%' % search_string 

编辑：但我绝对有另一个答案一致。 SQL查询中的直接字符串替换几乎总是一个坏主意。

Answer 3

这些查询似乎都容易受到SQL注入攻击。

尝试这样代替：

curs.execute("""SELECT tag.userId, count(user.id) as totalRows 
        FROM user 
      INNER JOIN tag ON user.id = tag.userId 
       WHERE user.username LIKE %s""", ('%' + query + '%',)) 

如果有两个参数传递给​​。

Answer 4

我有一个解决问题的方法：

不能使用：

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query) 

你可以用串模板改变它，如：

import MySQLdb 
import string # string module 
....... 
value = {'user':'your value'} 
sql_template = string.Template(""" 
SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN 
tag ON user.id = tag.userId WHERE user.username LIKE '%$user%' 
""") 

sql = sql_template.substitute(value) 

try: 
    cursor.execute(sql) 
    ........... 
except: 
    ........... 
finally : 
    db.close()