Python 中使用不定长字典构造 sql 语句问题

现在有一个需要在程序中使用不定长的字典构造 sql 语句 Insert INTO (字典的键) VALUE （字典的值）由于使用于 mysql，因为安全原因，不想使用＋法来构造其他三种 python 字符串构造方法好像都不行， a.使用% b.使用 format() c.使用 f-string 我没想出来方案，请大神指点迷津

字典

构造

Python

SQL

17 条回复 • 2020-03-27 19:48:05 +08:00

todd7zhang

2020-03-27 17:15:10 +08:00

d = {'name': 123, 'age': 456}
keys = d.keys()
sql = 'insert into (%s) value (%s)' % (','.join('%s' % k for k in keys), ','.join('%%s' for _ in keys))
cr.execute(sql, tuple(d.values()))

todd7zhang

2020-03-27 17:15:56 +08:00

后面是 %s for_ in keys
关键是构造出 'insert into (name, age) values (%s, %s)' 就行了

Vegetable

2020-03-27 17:26:11 +08:00

我寻思这加号和直接字符串方法在安全上有区别吗？不都是直接拼接 SQL 吗？

wuwukai007

2020-03-27 17:26:38 +08:00 via Android

没看懂+怎么会不安全，用了多线程吗

sikong31

2020-03-27 17:26:40 +08:00

def insert(self, table, **kw):
fields, values = zip(*kw.items())
fields_str = ','.join(fields)
values_str = ','.join(['?'] * len(fields))
sql = f"INSERT INTO {table} ({fields_str}) values ({values_str})"
self.con.execute(sql, values)

wysnylc

2020-03-27 17:27:40 +08:00

注入警告

xpresslink

2020-03-27 17:32:26 +08:00

>>> d = {'name': 123, 'age': 456}
>>> 'insert into table{0} values{1};'.format(tuple(d.keys()),tuple(d.values()))
"insert into table('name', 'age') values(123, 456);"
>>>

xpresslink

2020-03-27 17:37:44 +08:00

但是不建议一条一条的插入，最好用批量插入，数据量大了效率差万倍。
建一个插入模板
>> sql = 'insert into (name, age) values (%s, %s)'
>> conn.executemany(sql, list(d.values()))
大多数 python 的 mysql 驱动接口都带 executemany()方法。

sikong31

2020-03-27 17:39:11 +08:00

@xpresslink 他这是不定长的字典，键多少不固定，批量不了