数据库之Python操作MySQL

#r表示执行这条语句受影响的行数
r = cursor.execute(sql ,[‘wusir‘,‘123‘]) 
#r = cursor.executemany(sql ,[(‘jack‘,‘213‘),(‘tom‘,‘234‘)]) #表示插入多条数据，只有在插入数据的时候才使用executemany

conn.commit()   #增删改执行一定要加conn.commit()
cursor.close()   #关闭游标
conn.close()　　#关闭连接

查

# 查
conn = pymysql.connect(host="localhost",user=‘root‘,password=‘‘,database="db2")
# cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)    #使用这种游标查出来的数据是列表套子典
cursor = conn.cursor()       #使用这种游标查出来的数据是元祖套元祖
sql = "select * from userinfo"
cursor.execute(sql)

#cursor.scroll(1,mode=‘relative‘)  # 让游标相对当前位置移动
#cursor.scroll(2,mode=‘absolute‘)  # 让游标相对绝对位置移动

#result = cursor.fetchone()     # 取一个数据
#print(result)
#result = cursor.fetchmany(4)   #取指定数目的数据
#print(result)
result = cursor.fetchall()    #取查出来的所有数据
print(result)

cursor.close()
conn.close()

#PS：每取一个数据游标就会向下移动一位

# 新插入数据的自增ID: cursor.lastrowid
# 如当有一个主从表时，从表要根据主表的id变化来插入数据，这时可以使用cursor.lastrowid来获取最新插入的主表id。

避免mysql注入

　　写一个很简单的基于mysql的登录程序，数据库里面只有一个user为alex，pwd为123，当使用第一种写法时会出现mysql注入的情况。

import pymysql

user = input(‘>>请输入用户名：‘)
pwd = input(‘>>请输入密码：‘)

conn = pymysql.connect(host=‘127.0.0.1‘,user=‘root‘,password=‘‘,database=‘db2‘)
cursor = conn.cursor()

#第一种写法（不可以）
sql = "select * from userinfo where name=‘%s‘ and pwd=‘%s‘"%(user,pwd)   
cursor.execute(sql)
res = cursor.fetchone()
print(res)

#第二种写法（可以）
sql = "select * from userinfo where name=%s and pwd=%s"
cursor.execute(sql,[user,pwd])
res = cursor.fetchone()
print(res)

#第三种写法（可以）
sql = "select * from userinfo where name=%(u)s and pwd=%(p)s"
cursor.execute(sql,{‘u‘:user,‘p‘:pwd})
res = cursor.fetchone()
print(res)

if res: 
　　print(‘登陆成功‘) 
else: 
　　print(‘登陆失败‘)

　　这就是mysql注入，因为mysql中的注释是--，使用这种字符串拼接会将后面的语句注释掉，同时1=1成立，这样就会出现即使没有这个用户也会登录成功。

数据库之Python操作MySQL

标签：local   cal   where   ctc   最新   从表   表示   into   影响