我知道该主题的变体已在其他地方讨论过，但其他线程都没有帮助。
我想将一个字符串从 python 交给 sql。但是，字符串中可能会出现撇号 (')。我想用反斜杠转义它们。
sql = "update tf_data set authors=\'"+(', '.join(authors).replace("\'","\\\'"))+"\' where tf_data_id="+str(tf_data_id)+";"
但是，这将始终在我的字符串中给出\\'。因此反斜杠本身被转义，sql语句不起作用。
有人可以帮助我或给我一个替代方法吗？ 谢谢
【问题讨论】：
标签： python str-replace pymysql
别这样。
也不要连接 sql 查询，因为这些很容易发生 sql 注入。
改为使用参数化查询：
sql = "update tf_data set authors=%(authors)s where tf_data_id=%(data_id)s"
# or :authors and :data_id, I get confused with all those sql dialects out there
authors = ', '.join(authors)
data_id = str(tf_data_id)
# db or whatever your db instance is called
db.execute(sql, {'authors': authors, 'data_id': data_id})
【讨论】：
s 打错了？同时将 ; 完全删除，因为它不需要。
您正在使用双引号字符串，但仍在转义其中的单引号。这不是必需的，您只需将要在替换操作中使用的反斜杠转义即可。
>>> my_string = "'Hello there,' I said."
>>> print(my_string)
'Hello there,' I said.
>>> print(my_string.replace("'", "\\'"))
\'Hello there,\' I said.
请注意，我正在使用打印。如果您只是要求 Python 在替换操作后向您显示字符串的表示形式，您会看到双反斜杠，因为它们需要被转义。
>>> my_string.replace("'", "\\'")
"\\'Hello there,\\' I said."
【讨论】：
'\\' 是一个只有一个反斜杠的字符串。
正如其他人所暗示的，如果您使用 python 包执行 SQL，请使用提供的方法和参数占位符（如果可用）。
我的回答解决了提到的转义问题。 使用带前缀 r
的字符串文字print(r"""the\quick\fox\\\jumped\'""")
输出：
the\quick\fox\\\jumped\'
【讨论】：