Escaping Zeichen in Python und SQLite

Question

Ich habe ein Python-Skript, das rohe Film Textdateien in eine SQLite-Datenbank liest.

Ich benutze re.escape (Titel), um Escape-Zeichen in die Zeichenfolgen einzufügen, um sie db-sicher zu machen, bevor die Einfügungen ausgeführt werden.

Warum funktioniert das nicht:

In [16]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='\'Allo\ \'Allo\!\"\ \(1982\)'") 
--------------------------------------------------------------------------- OperationalError      Traceback (most recent call last) 

/home/rajat/Dropbox/amdb/<ipython console> in <module>() 

OperationalError: near "Allo": syntax error 

Doch funktioniert diese (entfernt \‘in zwei Plätze):

In [17]: c.execute("UPDATE movies SET rating = '8.7' WHERE name='Allo\ Allo\!\"\ \(1982\)'") Out[17]: <sqlite3.Cursor object at 0x9666e90> 

ich es nicht herausfinden. Ich kann auch diese führenden Zitate nicht wegwerfen, weil sie tatsächlich Teil des Filmtitels sind. Danke.

Answer 1

Sie tun es falsch. Buchstäblich. Sie sollten mit Hilfe von Parametern werden, wie folgt aus:

c.execute("UPDATE movies SET rating = ? WHERE name = ?", (8.7, "'Allo 'Allo! (1982)")) 

So ist, werden Sie nicht jede unter Angabe überhaupt tun müssen, und (wenn diese Werte kommen von jemand nicht vertrauenswürdigen) Sie ist 100% ig werden (hier) auch von SQL-Injection-Angriffen.

Answer 2

Ich benutze re.escape (Titel) Flucht Zeichen in die Saiten fügen Sie db sicher

Hinweis zu machen, dass re.escape einen String macht re -safe - nichts zu tun mit der Herstellung db sicher. Eher, wie @Donal sagt, was Sie brauchen, ist die Parameterersetzung Konzept der Python DB API - , die Dinge "db sicher" macht, wie Sie brauchen.

Answer 3

SQLite unterstützt Backslash-Escape-Sequenzen nicht. Apostrophe in Zeichenfolgenliteralen werden angezeigt, indem sie verdoppelt werden: '''Allo ''Allo! (1982)'.

Aber wie Donal sagte, sollten Sie Parameter verwenden.

Answer 4

Ich habe einen einfachen Tipp, den Sie verwenden könnten, um dieses Problem zu behandeln: Wenn Ihre SQL-Anführungszeichenfolge ein einzelnes Anführungszeichen hat: ', dann könnten Sie doppelte Anführungszeichen verwenden. Und wenn Ihre SQL-Anweisungsfolge doppelte Anführungszeichen hat: ", dann könnten Sie single quote:" verwenden, um Ihre Anweisungszeichenfolge einzufügen. Zum Beispiel

sqlString="UPDATE movies SET rating = '8.7' WHERE name='Allo Allo !' (1982)" 
c.execute(sqlString) 

Oder

sqlString='UPDATE movies SET rating = "8.7" WHERE name="Allo Allo !" (1982)' 
c.execute(sqlString) 

Diese Lösung funktioniert für mich in Python-Umgebung.