python - python、％、およびmysqlステートメント

Question

％文字を含む必要があるmysqlクエリを実行しようとしています...クエリを作成しているときに、％を使用してPythonを変数として固定しようとすると、Pythonの問題が発生します。

statmt="select id from %s WHERE `email` LIKE %blah%" % (tbl)
self.cursor.execute(statmt)

これは自然に次のようにバーフします：

statmt="select id from %s WHERE `email` LIKE %blah%" % (tbl)
TypeError: not enough arguments for format string

Pythonがこれを変数として読み取るのをやめ、文字列の一部として取り込むように、これをどのように修正する必要がありますか？

ありがとう！

score 7 · Accepted Answer

%Pythonフォーマット式内にリテラルが必要な場合は、次を使用し%%ます。

statmt="select id from %s WHERE `email` LIKE '%%blah%%'" % (tbl)

score 2 · Accepted Answer

文字列補間を使用する必要はありません。executeメソッドがそれを処理するので、代わりにこれを行うことができます。

statmt="select id from %s WHERE `email` LIKE %blah%"
self.cursor.execute(statmt, tbl)

score 2 · Accepted Answer

パーセント記号をエスケープする必要があります%%

文字列補間の代わりに、?パラメータ化されたクエリを使用する必要があります。,

score 1 · Accepted Answer

あなたが使用することができますstr.format：

statmt="select id from {tbl} WHERE `email` LIKE %blah%".format(tbl=tbl)

SQLインジェクションの脆弱性を作成していないことを確認してください。

4 に答える 4