遇到一个挺诡异的问题
一直都是用execute加%s的方式执行SQL,因为说这样可以拦截SQL注入.
但是今天,相同的SQL在数据库连接工具能正常执行,放进了Python没有任何报错返回空元组.

部分代码示意

def selectInformation(self,colume,key):
    sql = "select * from `host` where %s = %s order by `time` desc limit 1;"
    self.cursor.execute(sql,[colume,key])
    print(self.cursor.fetchall())

SQL是根据提供的列和列值进行替换查询指定的列
数据库是有数据的,相同的语句替换掉%s就可以正常执行.
但是上段代码执行报错了,翻阅部分源码说支持三种传参,列表.元组,或者字典.

换成字典再次试了下

def selectInformation(self,colume,key):
    sql = "select * from `host` where %(colume)s = %(key)s order by `time` desc limit 1;"
    self.cursor.execute(sql,{'colume':colume,'key':key})
    print(self.cursor.fetchall())

但是还是不行.

群里某位大佬让我格式化字符串试了下,成了…

解决方式:改为format或其他字符串格式化方式

def selectInformation(self,colume,key):
    sql = "select * from `host` where {} = '{}' order by `time` desc limit 1;".format(colume,key)
    # try:
    self.cursor.execute(sql)
    # except:
    #     return {'error':'query error,please check args'}
    print(self.cursor.fetchall())