pythonとmysqlコネクタのようなものを使ってクエリを書く

Question

mysqlコネクタとpythonのようにクエリを書く方法は？私はSQLインジェクションを避けようとしており、ORMの使用はオプションではありません。

 param = 'bob' 
     select_query = mysql_conn.query_db("select * from table_one where col_name like '%?%' order by id asc limit 5", param) 

クエリが実行されても、同じ結果が得られます。私は何も得られないはずです。

以下のクエリを使用すると、エラーが発生します。

 select_query = mysql_conn.query_db("select * from table_one where col_name like %s order by id asc limit 5", param) 

SQL構文に誤りがあります。 に渡されたクエリ文字列内の任意のリテラルパーセント記号を実行することをライン1

Answer 1

あなたね、エスケープする必要があります名前付きパラメータを使用した場合のパラメータは、上記のようなタプルとして、または辞書として渡す必要があります。また

select_query = mysql_conn.query_db(
    "select * from table_one where col_name like %s order by id asc limit 5", 
    ("%{}%".format(param),) 
) 

：

paramあなたはこのように例えば、脱出する前に渡しているに %ワイルドカードを追加するためのエド

select_query = mysql_conn.query_db(
    "select * from table_one where col_name like %(p)s order by id asc limit 5", 
    {"p": "%{}%".format(param)} 
) 

Answer 2

ノートで「IDの昇順制限5によって％sのため」近くを使用する権利構文についてはMySQLサーバのバージョンに対応するマニュアルを確認してください（）すなわち%%

http://mysql-python.sourceforge.net/MySQLdb.html

ほとんどの書式古いスタイルのPythonの文字列と同じものである、Cのprintfなどなど