在python中为mysql转义单引号和双引号

Question

我在 python 2.7 中使用 mysql.connector python 库

我有一个 unicode 字符串，它可能包含也可能不包含单引号和双引号。 以下是我为逃生功能尝试的事情：

def escape(string):
#string.MySQL.escape_string()
#string = string.decode('string_escape')
#string = string.encode('unicode-escape').replace("'", "''")
#string = string.encode('unicode-escape').replace('"', '\"')
#string = string.encode('unicode-escape').replace("'", u"\u2019")
#string = string.encode('unicode-escape').replace('''"''', u"\u201D")
#string = string.encode('unicode-escape').replace('''''', u"\u201D")
return string

似乎没有任何效果。我尝试使用 this 函数但仍然给出 mysql 语法错误。

我需要 mysql.connector 库中的一些东西，它可以在不破坏 unicode 和 mysql 查询的情况下转义单引号和双引号。

这是我正在使用的 SQL 查询示例：

"""SELECT * FROM messages WHERE msg_id = '{msg_id}'""".format(**db_dict)

如果需要更多详细信息，请告诉我

编辑：示例 SQL 查询已更新

Answer 1

MySQLdb 官方声明使用format 参数样式，但它也支持pyformat 样式*，所以如果你想使用来自字典的参数，你可以使用：

db_dict = {'msg_id': "1'2'3", ...}
cursor.execute("SELECT * FROM messages WHERE msg_id = %(msg_id)s", db_dict)

使用字符串操作创建sql查询只会导致sql注入漏洞，所以千万不要这样做。

---

*... 大多数在屏幕后面使用 python 字符串格式的 db 连接器都是这样做的，它们将 format 或 pyformat 之一指定为 paramstyle，但实际上两者都支持。 dbapi2 不允许在此处指定两个值，但也不禁止支持多个 parmstyle。如果您编写的代码可能使用未知的 dbapi2 连接器，那么您可以查询受支持的参数样式就足够了，能够了解所有内容会很好，但这不是必需的。

Answer 2

cursor.execute('SELECT * FROM messages WHERE msg_id = %s', (db_dict['msg_id'],)) 是您要在此处运行的内容。 python 的数据库接口不支持标准字符串转义，并且根据@bobince 的评论，这是一个安全漏洞。