Question

如何在SQL查询中正确使用字典？我应该预定义SQL变量以防止SQL注入吗？例如。尝试使用字典更新表时，Python出现错误，但是查询在具有预定义变量和值的纯SQL中运行完美。

_mysql_connector.MySQLInterfaceError: Incorrect datetime value: '1' for column 'colF' at row 1

我的字典

     {'ID': 1, 'colA': 'valA1', 'colB': 'valB1', 'colC': 'valC1', 
        'colD': 'valD1', 'colE': 'valE1', 'colF': datetime.datetime(2017, 12, 23, 0, 0), 
'colG': datetime.datetime(2018, 
        7, 11, 0, 0), 'colH': datetime.datetime(2018, 9, 1, 0, 0)}

SQL语句

UPDATE table1
    SET 
    colA = CASE \
    WHEN %(valA1)s IS NOT NULL THEN %(valA1)s 
    END,\
    colB = CASE \
    WHEN %(valB1)s IS NOT NULL THEN %(valB1)s 
    END,\
    colC = CASE \
    WHEN %(valC1)s IS NOT NULL THEN %(valC1)s 
    END,\
    colD = CASE \
    WHEN %(valD1)s IS NOT NULL THEN %(valD1)s 
    END,\
    colE = CASE \
    WHEN %(valE1)s IS NOT NULL THEN %(valE1)s 
    END,\
    colF = CASE\
    WHEN  %(valF)s IS NOT NULL THEN %(valF)s
    END,\
    colG = CASE\
    WHEN  %(valF1)s IS NOT NULL THEN %(valF1)s 
    END,\
    colH = CASE\
    WHEN  %(valH1)s IS NOT NULL THEN %(valH1)s
    END\
    WHERE %(ID)s = Id """

当我格式化查询字符串

 colF1 = CASE  
    WHEN  2018-07-11 00:00:00 IS NOT NULL THEN 2018-07-11 00:00:00 
    END,
    colH1 = CASE
    WHEN  2018-09-01 00:00:00 IS NOT NULL THEN 2018-09-01 00:00:00
    END 
    WHERE  Id = 1

另一个问题when value is not null。我想语法是错误的。

Answer 1

您尝试进行参数化查询会出现几个问题：

如MySQLdb文档中所述，列或表标识符不能在参数占位符中使用。此类占位符仅用于文字值。另外，请考虑多行的三重引号字符串，以免出现\换行符：

sql = """UPDATE table1
         SET 
           colA = CASE 
                     WHEN colA IS NOT NULL 
                     THEN %(valA1)s 
                  END,
         ...
      """

cur.execute(sql, mydict)
con.commit()

要使用命名的占位符方法，字典键必须与占位符名称匹配。当前，您需要颠倒字典中的大多数键/值顺序，而仅对ID正确地这样做。但是，如上面＃1所述，删除所有列标识符：
```
{'ID': 1, 'valA1': 'data value', 'valB1': 'data value', 'valC1': 'data value', ... }
```
包括MySQL在内的大多数数据库中的日期时间必须采用字符串YYYY-MM-DD HH:MM:SS的形式。 MySQL引擎无法执行Python的datetime()对象。但是，某些DBI-API可能能够转换此对象类型。
```
{'valF': '2017-12-23 00:00:00', 
 'valG': '2018-07-11 00:00:00', 
 'valH': '2018-09-01 00:00:00'}
```

使用字典列表更新SQL表

1 个答案: