Python-String-Formate mit SQL-Wildcards und LIKE

Question

Ich habe es schwer, einige SQL in Python zu bekommen, um MySQLdb richtig zu durchlaufen. Es ist Pythons Zeichenfolge Formatierung, die mich tötet.

Meine SQL-Anweisung verwendet das Schlüsselwort LIKE mit Platzhaltern. Ich habe in Python verschiedene Dinge ausprobiert. Das Problem ist, sobald ich einen von ihnen zum Laufen bringe, gibt es eine Codezeile in MySQLdb, die das String-Format rülpst.

Versuch 1:

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query)

Dies ist ein no go. Ich erhalte Wertfehler:

ValueError: unsupported format character ''' (0x27) at index 128

Versuch 2:

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '\%%s\%'" % (query)

ich das gleiche Ergebnis von Versuch abrufen 1.

Versuch 3:

like = "LIKE '%" + str(query) + "%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

Das korrekte totalq schafft Variable, aber jetzt, wenn ich gehe, um die Abfrage auszuführen, bekomme ich Fehler von MySQLdb:

File "build/bdist.macosx-10.6-universal/egg/MySQLdb/cursors.py", line 158, in execute query = query % db.literal(args) TypeError: not enough arguments for format string

Versuch 4:

like = "LIKE '\%" + str(query) + "\%'" totalq = "SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username " + like

Dies ist die gleiche Ausgabe wie Versuch 3.

Das alles wirklich seltsam scheint. Wie kann ich Platzhalter in SQL-Anweisungen mit Python verwenden?

Answer 1

Es geht nicht um String-Formatierung, aber das Problem ist, wie Abfragen sollten (PEP 249)

versuchen so etwas wie dies nach db Betriebsanforderungen in Python ausgeführt werden:

sql = "SELECT column FROM table WHERE col1=%s AND col2=%s" 
params = (col1_value, col2_value) 
cursor.execute(sql, params) 

here are some examples for psycog2, wo Sie einige Erklärungen haben das sollte auch für mysql gelten (mysqldb folgt auch PEP249 dba api guidance 2.0: here are examples for mysqldb)

Answer 2

Um Et-Zeichen in Python-String Formatierung Ausdrücke zu entkommen, die doppelte kaufmännische Und:

'%%%s%%' % search_string 

Edit: Aber ich mit einer anderen Antwort auf jeden Fall zustimmen. Direkte String-Substitution in SQL-Abfragen ist fast immer eine schlechte Idee.

Answer 3

Diese Abfragen scheinen alle anfällig für SQL-Injection-Angriffe zu sein.

Versuchen etwas Ähnliches statt:

curs.execute("""SELECT tag.userId, count(user.id) as totalRows 
        FROM user 
      INNER JOIN tag ON user.id = tag.userId 
       WHERE user.username LIKE %s""", ('%' + query + '%',)) 

Wo gibt es zwei Argumente werden zu execute() geben.

Answer 4

Ich habe eine Lösung für Ihr Problem:

Sie können nicht verwenden:

"SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN tag ON user.id = tag.userId WHERE user.username LIKE '%%s%'" % (query) 

Sie es mit Zeichenketten-Template ändern können, wie zum Beispiel:

import MySQLdb 
import string # string module 
....... 
value = {'user':'your value'} 
sql_template = string.Template(""" 
SELECT tag.userId, count(user.id) as totalRows FROM user INNER JOIN 
tag ON user.id = tag.userId WHERE user.username LIKE '%$user%' 
""") 

sql = sql_template.substitute(value) 

try: 
    cursor.execute(sql) 
    ........... 
except: 
    ........... 
finally : 
    db.close()