Python 与 MySQL 进行增删改查的操作以及防止SQL注入
在 Python 中使用 MySQL 数据库操作非常方便，通过 PyMySQL 这个第三方库，我们可以轻松地实现 MySQL 数据库的连接、查询、添加、修改和删除等操作。下面通过一个简单的示例来演示如何实现 MySQL 数据库的基本操作。
- 准备工作
在进行实验前，需要先安装 PyMySQL 库，可以通过以下命令进行安装：
pip install pymysql
我们还需要在 MySQL 中创建一个数据库和一张表，假设我们创建的数据库名为 testdb，表名为 users，包含以下两个字段：
id INT(11) PRIMARY KEY AUTO_INCREMENT, name VARCHAR(20) NOT NULL, age INT(3) NOT NULL
- 连接数据库
首先，我们需要建立与 MySQL 数据库的连接。可以通过以下代码实现：
import pymysql # 建立数据库连接 conn = pymysql.connect( host='localhost', # 连接的数据库服务器地址 user='root', # 连接的数据库用户名 password='123456', # 连接的数据库密码 db='testdb', # 连接的数据库名称 charset='utf8mb4', # 设定字符集 cursorclass=pymysql.cursors.DictCursor # 以字典类型返回查询结果 )
- 插入数据
接下来，我们可以通过以下代码向 users 表中插入一条数据：
# 获取一个游标对象 cursor = conn.cursor() # 插入一行数据 sql = "INSERT INTO users (name, age) VALUES (%s, %s)" cursor.execute(sql, ('张三', 25)) # 提交事务 conn.commit() # 关闭游标和数据库连接 cursor.close() conn.close()
在这段代码中，%s 是使用占位符的方式，可以有效地避免 SQL 注入问题。
- 查询数据
接下来，我们可以通过以下代码查询 users 表中的所有数据，然后将查询结果打印出来：
# 获取游标对象 cursor = conn.cursor() # 执行查询操作 sql = "SELECT * FROM users" cursor.execute(sql) # 获取查询结果 result = cursor.fetchall() # 输出查询结果 for row in result: print(row) # 关闭游标和数据库连接 cursor.close() conn.close()
- 更新数据
接下来，我们可以通过以下代码将 users 表中 id 为 1 的数据的 age 字段更新为 30：
# 获取游标对象 cursor = conn.cursor() # 更新一行数据 sql = "UPDATE users SET age = %s WHERE id = %s" cursor.execute(sql, (30, 1)) # 提交事务 conn.commit() # 关闭游标和数据库连接 cursor.close() conn.close()
- 删除数据
最后，我们可以通过以下代码删除 users 表中 id 为 1 的数据：
# 获取游标对象 cursor = conn.cursor() # 删除一行数据 sql = "DELETE FROM users WHERE id = %s" cursor.execute(sql, 1) # 提交事务 conn.commit() # 关闭游标和数据库连接 cursor.close() conn.close()
以上就是 Python 与 MySQL 数据库进行增删改查的基本操作，通过这些简单的示例，你可以快速入门 PyMySQL 库的使用。
防止 SQL 注入
SQL 注入是一种常见的网络攻击方式，它的原理是通过将恶意 SQL 代码注入到应用程序中，从而获取数据库中的敏感信息。在开发 Python 应用程序时，为了确保程序的安全性，我们需要采取一些措施来防止 SQL 注入的发生。
- 使用占位符
使用占位符是一种有效的防止 SQL 注入的方式。在使用 SQL 语句时，我们可以通过占位符的方式传递参数，从而避免 SQL 注入的风险。以下代码就是一个使用占位符的示例：
# 获取游标对象 cursor = conn.cursor() # 插入一行数据 sql = "INSERT INTO users (name, age) VALUES (%s, %s)" cursor.execute(sql, ('张三', 25)) # 提交事务 conn.commit() # 关闭游标和数据库连接 cursor.close() conn.close()
在这段代码中，%s 就是占位符，它可以将传递的参数进行处理，从而避免 SQL 注入的风险。
- 使用参数化查询
参数化查询是另一种有效的防止 SQL 注入的方式。在使用参数化查询时，我们可以将 SQL 语句与参数分离开来，从而避免恶意代码的注入。以下代码就是一个使用参数化查询的示例：
# 获取游标对象 cursor = conn.cursor() # 执行查询操作 sql = "SELECT * FROM users WHERE name = %s" cursor.execute(sql, ('张三',)) # 获取查询结果 result = cursor.fetchall() # 输出查询结果 for row in result: print(row) # 关闭游标和数据库连接 cursor.close() conn.close()
在这段代码中，%s 作为参数传递给 cursor.execute() 函数，而不是直接包含在 SQL 语句中，从而避免了 SQL 注入的风险。
- 过滤输入内容
在编写 Python 程序时，我们应该对用户输入的内容进行过滤和验证，确保输入的内容符合预期。在处理 SQL 语句时，我们应该过滤掉一些特殊字符，如单引号、双引号、分号等，从而减少 SQL 注入的风险。
- 总结
以上就是在 Python 中防止 SQL 注入的方式，通过使用占位符、参数化查询和过滤输入内容等方法，我们可以有效地保护 Python 应用程序的安全性，避免 SQL 注入的发生。
