代码之家 › 专栏 › 技术社区 › lasalla

在Python中插入未替换的字符串

psycopg2 postgresql python-2.7 python

lasalla · 技术社区 · 9 年前

cur.execute('SELECT insert_profile("name", "favorite color example")')

当我尝试使用字符串插值插入传递给execute函数的变量字符串时,就会出现问题。

我试着对变量使用双引号,对字符串文字使用单引号,但这只是执行通常的操作。如:

name = "Harry"
color = "Blue"
cur.execute('SELECT insert_profile({0}, {1})'.format(name, color)

我还尝试嵌套变量,但它将文字嵌套字符串插入数据库:

name = "'Harry'"
color = "'Blue'"

1 回复 | 直到 9 年前

Chris Johnson user3351229 9 年前

cur.execute(
...     """INSERT INTO some_table (an_int, a_date, another_date, a_string)
...         VALUES (%(int)s, %(date)s, %(date)s, %(str)s);""",
...     {'int': 10, 'str': "O'Reilly", 'date': datetime.date(2005, 11, 18)})

查询字符串具有引用字典中键的占位符,驱动程序将使用适当的引号、转义等插入值,这可以为您节省很多麻烦。

format 。由于SQL注入,这留下了一个巨大的安全漏洞。让司机做艰苦的工作!

推荐文章

Google User · Django管理员在`list_display中未显示`creation_date`字段`

1 年前

user29747013 · 如何创建一个新的数据框架,其中包含原始数据框架中列的聚合列?

1 年前

ÎÎÎ½Î· ÎÎ®Î¹Î½Î¿Ï · Python lxml.html语法错误:使用lxml find时XPATH的谓词无效

1 年前

user29715306 · from_users=和chats=电视节目中的差异

1 年前

Redshoe · 当执行numpy.genfromtxt()时,python是否会读取文件的所有行?

1 年前

RASEL MAHMUD · 为什么以及如何在is_even()函数内的IF条件中递归X变量在满足0后递增?[副本]

1 年前

prayner · 更新嵌套字典包含列表中的项

1 年前

Bringo Jr · 我可以在O(n)中解决这个问题吗?

1 年前

Dave · 如何在for循环中修改列表值

1 年前

Shukurullox Komiljonov · 从记录中获得相互和解。使用SQL

1 年前