Question

让我们问一下这个表：

Actor1 Actor2 Movies
stef   bill   a
bill   stef   b
nick   nick   c
stef   stef   d
nick   bill   e
bill   nick   f

我们希望找到播放电影的演员，然后从键盘上输入演员的名字（input1，input2）。显然，如果输入是一个演员，我们会有这样的事情：

sql_query='select Actor1,Actor2 from movies where Actor1= {}'.format(input1)
cursor.execute(sql_query)

但是当我有两个输入时，我该怎么办？

Answer 1

在查询中使用两个占位符。您还应该让cursor.execute()执行占位符替换，因为它使用预准备语句，而不是字符串格式，这对SQL注入是开放的（您还忘记了{}周围的引号，所以你会有得到了一个错误）。

sql_query = 'select Actor1,Actor2 from movies where (Actor1= %s AND Actor2 = %s) OR (Actor1 = %s AND Actor2 = %s)'
cursor.execute(sql_query, (input1, input2, input2, input1))

PyMysql-Python：如何将两个输入与sql查询相关联？

1 个答案: