Python MySQLdb WHERE SQL LIKE

Question

Gần đây tôi đã bắt đầu học Python và MySQL cho mục đích web và tôi đã gặp phải một vấn đề sau:

Tôi muốn rút ra khỏi cơ sở dữ liệu mysql. nhập trong phần param, howerver tôi chạy vào vấn đề sau đây khi thực hiện một truy vấn:

traceback (most recent call last): 
    File "/Users/Strielok/Desktop/test.py", line 13, in <module> 
    c.execute("SELECT * FROM data WHERE params LIKE ('%s%') LIMIT 1" % (param)) 
TypeError: not enough arguments for format string 

đây là mã của tôi:

import MySQLdb 



db = MySQLdb.connect (host = "localhost", 
          user = "root", 
          passwd = "root", 
          db = "test") 
param = "Test" 

par = param 

c = db.cursor() 

c.execute("SELECT * FROM data WHERE params LIKE ('%s%') LIMIT 1" % (param)) 


data = c.fetchall() 
print data 

c.close() 

Cảm ơn trước.

Answer 1

trực tiếp chèn dữ liệu vào chuỗi SQL không phải là cách tốt nhất để làm điều này, vì nó là dễ bị SQL injection. Bạn nên thay đổi điều này thành:

c.execute("SELECT * FROM data WHERE params LIKE %s LIMIT 1", ("%" + param + "%",))

Answer 2

Bạn không sử dụng thông số thích hợp. Python đang mong đợi một vòng loại khác trong khu vực này ('%s%___') để thực hiện thay thế chuỗi. Đây cũng là mã dễ bị tổn thương. Cách thích hợp để làm điều này sẽ như thế nào nữa:

c.execute("SELECT * FROM data WHERE params LIKE '%%s%' LIMIT 1",(param,))