无效语法（接近日期）

Question

我在 stackoverflow 中找到了这段代码。符合我的要求。我正在使用一个由 id、日期、性别、姓名和姓氏组成的 mysql 数据库。我对代码做了一些更改，以便我可以获得开始日期和结束日期之间的日期和其他信息。

import mysql
import mysql.connector
import command
import datetime

def findarbs(startdate, enddate):
      con = mysql.connector.connect(user='root', password='root', 
host='localhost',port='3306',database='testdb')
      cur = con.cursor()
      command = ("SELECT DISTINCT id, date FROM babyrop", WHERE 'date1' 
      > ('%s') AND 'date2' < ('%s'), ORDER BY date asc % (startdate, 
enddate))
print ('command')
cursor.execute(command)
result = cur.fetchone()
print (result)
while result is not None:
print (result[1])
result = cursor.fetchone()
cur = con.cursor()
cur.execute('select id, date weight from babyrop')

data = cursor.fetchall()
cur.close()
con.close()

当我尝试执行它时，我在日期附近收到错误“无效语法”。让我知道需要进行哪些更正。

Answer 1

1. 您过早地终止了字符串。查询中的逗号也无效。

   command = ("SELECT DISTINCT id, date FROM babyrop", WHERE 'date1' 
         > ('%s') AND 'date2' < ('%s'), ORDER BY date asc % (startdate, 
   enddate))
   

   “应该”是

       command = ("SELECT DISTINCT id, date FROM babyrop WHERE 'date1' 
     > ('%s') AND 'date2' < ('%s') ORDER BY date asc" % (startdate, 
   enddate))
   

2. 我写“应该”是因为您应该不在查询中使用字符串连接，因为它会将您的代码暴露给 SQL 注入。您应该改用参数化查询。还建议对查询字符串使用三引号，以便很好地将它们分开：

       command = """SELECT DISTINCT id, date
                    FROM babyrop
                    WHERE 'date1' > ('%s') AND 'date2' < ('%s')
                    ORDER BY date asc"""
   
       cursor.execute(command, (startdate, enddate))
   

   另外，我很确定您不需要在 where 子句中的列名和占位符周围加上单引号 (')，但这可能是 MySQL 的问题。