Python和Mysql的报价和变量

Question

我跑了一个问题，我不知道如何解决。

我有这样一行：

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST   ('"The.New.York.Times"' IN BOOLEAN MODE);") 

如果我运行：

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"The.New.York.Times"'  IN BOOLEAN MODE);") 

在MySQL控制台，它的工作原理。但我猜python不喜欢'"The.New.York.Times"'引号。我如何解决这个问题？

而且，我将如何在Python中使该搜索字符串变量？ 东西沿线

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"%s"' IN BOOLEAN MODE);, var1") 

？

Answer 1

为了避免SQL注入，并得到适当的转义，你应该通过查询变量作为第二个参数来execute：

param = '"The.New.York.Times"' 
cur.execute("SELECT * FROM predb WHERE Match(name) AGAINST (%s IN BOOLEAN MODE)", (param,))