BYR Achieve · 镜像论坛

☆─────────────────────────────────────☆ Devil (WELL DONE!THE YOUNG GUY!) 于 (Tue Jun 9 14:35:37 2009) 提到: python操作数据库时下面的语句： cur.execute('insert into lvmeng values (a.id,a.name,a.pubdate,a.update,a.effsys,a.uneffsys,a.bugtraqID,a.cveID,a.descrip);') 中 a.id,a.name,a.pubdate,a.update,a.effsys,a.uneffsys,a.bugtraqID,a.cveID,a.descrip都是python中的变量~ 请教如何将变量值正确传递给sql语句？？？谢谢~~~ [em18] ☆─────────────────────────────────────☆ FadeToBlack (Patz) 于 (Tue Jun 9 15:00:21 2009) 提到: 试试双引号？perl里双引号替换不会python。 ☆─────────────────────────────────────☆ Devil (WELL DONE!THE YOUNG GUY!) 于 (Tue Jun 9 15:08:16 2009) 提到: 在python中，单双引号没有区别的~ 【在 FadeToBlack 的大作中提到: 】 : 试试双引号？perl里双引号替换 : 不会python。 ☆─────────────────────────────────────☆ derkaiser (剑痞忆秋年|MAEMO|Soton) 于 (Tue Jun 9 15:14:05 2009) 提到: 不是特别懂python啊，不过execute是不是接受一个字符串为参数？是的话，不怕麻烦那就构造出需要的字符串就行了，而不是这样直接把变量扔进去。类似的我用c的sprintf说明下： sql，代表要用的sql语句 sprintf(sql,"insert into lvment values(%s,%s,.....)",a.di,a.name....); 然后执行cur.execute(sql)应该就行了吧~~~ 牛人轻拍【在 Devil (WELL DONE!THE YOUNG GUY!) 的大作中提到: 】 : python操作数据库时下面的语句： : cur.execute('insert into lvmeng values (a.id,a.name,a.pubdate,a.update,a.ef : fsys,a.uneffsys,a.bugtraqID,a.cveID,a.descrip);') : 中 : ................... ☆─────────────────────────────────────☆ wks (cloverprince) 于 (Tue Jun 9 16:40:53 2009) 提到: 不要自己构造sql语句。Python的DB-API里绝对有帮助你构造这样的SQL语句用的命令。如果我给自己起名字叫 blahblah');drop table lvmeng;insert into lvmeng values(123,'abc' 你的数据库就完了。。。。。 ☆─────────────────────────────────────☆ BookMoth (书中蠹鱼) 于 (Tue Jun 9 21:27:42 2009) 提到: 放心吧，据我从lz那里了解到的应用环境没有用户参与~~sql注入发生的概率比较小。另外……表名看着有点眼熟…… 【在 wks 的大作中提到: 】 : 不要自己构造sql语句。Python的DB-API里绝对有帮助你构造这样的SQL语句用的命令。如果我给自己起名字叫 : blahblah');drop table lvmeng;insert into lvmeng values(123,'abc' : 你的数据库就完了。。。。。 ☆─────────────────────────────────────☆ ericyosho (ericyosho) 于 (Wed Jun 10 08:36:36 2009) 提到: 跟sprintf类似，python里面也有这样构造字符串的方法。比如说 'you are a good %s' % a.what

[合集] 请教python问题~~