+-
我正在从 Python(使用MySQLDb)运行一个动态MySQL查询,该查询包括一个包含字符串值的“ in list”子句.执行此功能的函数将获取一个值数组.如果有帮助,我可以将该数组放入元组或其他任何类型的集合中.
插入此列表的“最佳”方法是什么？请记住,需要单引号和逗号等.这是一种难看但安全的手动方法：
inList = ""
for stringValue in someArray:
if inList != "" : inList += ","
inList += "'%s'" % stringValue
querystr = "SELECT * FROM some_tbl WHERE some_column IN( %s );" % (inList)
另外,这是另一个选择.它更短,但依赖于数组来表示字符串,将来仍保持完全相同：
inList = str(someArray).replace("[", "").replace("]", "")
querystr = "SELECT * FROM some_tbl WHERE some_column IN( %s );" % (inList)
编辑
我写这篇文章时认为我的Python术语是错误的.我应该说的是“列表”而不是“数组”.
最佳答案
确实没有使这种动态查询安全的好方法.您应该切换到参数化查询,在这种情况下,解决方案是：
placeholder = '%s'
param_subs = ','.join((placeholder,) * len(param_list))
sql = 'SELECT col1, col2, . . . FROM Table WHERE Column IN ( %s );' % param_subs
cursor.execute(sql, param_list)
(这假定您使用的是MySQL Connector,不幸的是,它使用％s作为占位符.其他Python库倾向于使用？作为占位符.)
点击查看更多相关文章
转载注明原文：从字符串数组(或元组)在Python中创建动态sql“ in list”子句的“最佳”方法是什么？ - 乐贴网
