Python MySQLdb: adlandırılmış sözlüğe

Question

olarak Sorgu parametreleri onlar SQL enjeksiyonu gelen karakterlidir öyle ki, adlandırılmış sözlük olarak MySQLdb ait cursor.execute() yöntemine sorgu parametrelerini geçmek istiyorum. http://mysql-python.sourceforge.net/MySQLdb.html diyor

>>>c.execute('select id from users where username=%(user)s', {'user':'bob',}) 
KeyError: 'user' 

MySQLdb manuel: arayüzü tarafından beklenen biçimlendirmeyi parametre işaretçisi türünü belirten

* PARAMSTYLE

dize sabiti Bu KeyError verir neden

açıklayabilir. 'Format' = ANSI C printf biçim kodları, ör. '... NEREDE =% s'. Eğer connect.execute() için bir eşleme nesnesi kullanılırsa, arayüz aslında 'pyformat' = Python genişletilmiş format kodlarını kullanır, örn. '... WHERE adı =% (isim) s'. Ancak, API halen PARAMSTYLE birden fazla stil belirtilmesine izin vermez * belgelerinde çizgi sorunuza cevap verebilir yapıştırılan neyi aşağıdaki

Answer 1

.

Parameter placeholders can only be used to insert column values. They can not be used for other parts of SQL, such as table names, statements, etc.

Answer 2

MySQLdb sorgu parametreleri olarak dicts verir . This response, bunu yapmak için tüm farklı yolları gösterir. Sadece "execute" için ikinci parametre olarak bu parametre (tuple, dict ...) olarak bir secuence sağlamanız gerekir. Sorgunuzu "yürütme" yönteminde yalnızca bir parametre olarak biçimlendirmeyin veya SQL injection saldırılarına maruz kalacaksınız. Bkz: gerekli denetimi ele MySQLdb kütüphanesi sağlar gibi diğer yolu sabitlenir

user = "peter;DROP TABLE users" :_(

: eğer

"SELECT * FROM users WHERE username = '%s'" % (user) 

ne olacağını düşünün.

# Connect to db 
# Open a cursor 
stmt = "SELECT * FROM users WHERE username = %(user)s" 
cursor.execute(stmt, {"user": "bob"}) 
user = cursor.fetchone() 
print user 

{'username': 'bob', 'alias': 'bobby', 'avatar': 'default', 'fullname': 'bob'} 

bize daha fazla bilgi verebilir:

Ben senin sorgu benim için çalışıyor, çünkü yanlış olduğunu bilmiyor musunuz?