Python

目录

• pymysql的使用
• execute()之sql注入
• 增、删、改：conn.commit()
• 查：fetchone、fetchmany、fetchall

1， pymysql的使用

# 实现：使用Python实现用户登录，如果用户存在则登录成功（假设该用户已在数据库中）

# 模块导入
import pymysql

# 定义变量
user = input('请输入用户名：')
pwd = input('请输入密码：')

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor()

# 注意%s需要加引号
sql = "select * from userinfo where name='%s' and passwd='%s'" %(user, pwd)
print(sql)

# 执行sql语句
cursor.execute(sql)

# 执行sql语句，返回sql查询成功的记录数目
result=cursor.execute(sql) 
print(result)


# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

if result:
    print('登陆成功')
else:
    print('登录失败')

# 结果呈现
请输入用户名：test
请输入密码：123
select * from userinfo where name='test' and passwd='123'
1
登录成功

2， execute()之sql注入

• -- 在数据库中 “两个横杠 加 空格” 表示注释

2.1 sql注入之：用户存在，绕过密码

请输入用户名：test ' -- haha
请输入密码：
select * from userinfo where name='test ' -- haha' and passwd=''
1
登录成功

2.2 sql注入之：用户不存在，绕过用户与密码

请输入用户名：-- hahaha ' or 1=1 -- hahaha
请输入密码：
select * from userinfo where name='-- hahaha ' or 1=1 -- hahah' and passwd=''
1
登录成功

2.3 使用 execute() 传参解决

• execute() 源码

    def execute(self, query, args=None):
        """Execute a query

        :param str query: Query to execute.

        :param args: parameters used with query. (optional)
        :type args: tuple, list or dict

        :return: Number of affected rows
        :rtype: int

        If args is a list or tuple, %s can be used as a placeholder in the query.
        If args is a dict, %(name)s can be used as a placeholder in the query.
        """

• 之前使用的sql进行字符串拼接

sql="select * from userinfo where name='%s' and passwd='%s'" %(user, pwd)
print(sql)
result=cursor.execute(sql)

• 采用列表的方式

sql="select * from userinfo where name=%s and passwd=%s" 
print(sql)
result=cursor.execute(sql,[user, pwd])

• 采用元组的方式

sql="select * from userinfo where name=%s and passwd=%s" 
print(sql)
result=cursor.execute(sql,(user, pwd))

• 采用字典的方式

sql="select * from userinfo where name=%(n)s and passwd=%(p)s" 
print(sql)
resul t= cur.execute(sql,{"n": user, "p": pwd})

3， 增、删、改：conn.commit()

• commit()方法：在数据库里增、删、改的时候，必须要进行提交，否则插入的数据不生效。

# 模块导入
import pymysql

# 定义变量
user = input('请输入用户名：')
pwd = input('请输入密码：')

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor()

# 增
sql = "insert into userinfo(name,passwd) values (%s,%s)"
effect_row = cursor.execute(sql,(user,pwd))

# 一定记得commit
conn.commit()

print(effect_row)

# 同时插入多条数据
# cursor.executemany(sql,[('test2'，'111'),（'test3'，'222'）])

# # 改
# sql = "update userinfo set name = %s  where id = 2"
# effect_row = cursor.execute(sql,user)
# print(effect_row)

# # 删
# sql = "delete from userinfo  where id = 2"
# effect_row = cursor.execute(sql)
# print(effect_row)

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

# 结果呈现
请输入用户名：test1
请输入密码：456
1

4， 查：fetchone、fetchmany、fetchall

fetchone():获取下一行数据，第一次为首行；
fetchall():获取所有行数据源
fetchmany(4):获取4行数据

• userinfo 表数据

mysql> select * from userinfo;
+----+-------+--------+
| id | name  | passwd |
+----+-------+--------+
|  1 | test  | 123    |
|  2 | test1 | 456    |
|  3 | test2 | 111    |
|  4 | test3 | 222    |
+----+-------+--------+
4 rows in set (0.00 sec)

4.1 fetchone()

# 模块导入
import pymysql

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor()

# 注意%s需要加引号
sql = "select * from userinfo "
print(sql)

cursor.execute(sql)

# 查询第一行的数据
row = cursor.fetchone()
print(row) # (1, 'test', '123')

# 查询第二行数据
row = cursor.fetchone()
print(row) # (2, 'test1', '456')

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

# 结果呈现
select * from userinfo 
(1, 'test', '123')
(2, 'test1', '456')

• 默认情况下，获取到的返回值是元组，只能看到每行的数据，却不知道每一列代表的是什么，这个时候可以使用以下方式来返回字典，每一行的数据都会生成一个字典：

cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)  #在实例化的时候，将属性cursor设置为pymysql.cursors.DictCursor

• 在fetchone示例中，在获取行数据的时候，可以理解开始的时候，有一个行指针指着第一行的上方，获取一行，它就向下移动一行，所以当行指针到最后一行的时候，就不能再获取到行的内容，所以我们可以使用如下方法来移动行指针：

cursor.scroll(1,mode='relative')  # 相对当前位置移动
cursor.scroll(2,mode='absolute') # 相对绝对位置移动

• 第一个值为移动的行数，整数为向下移动，负数为向上移动，mode指定了是相对当前位置移动，还是相对于首行移动

# 模块导入
import pymysql

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)

# 注意%s需要加引号
sql = "select * from userinfo "
print(sql)

cursor.execute(sql)

# 查询第一行的数据
row = cursor.fetchone()
print(row) # (1, 'test', '123')

# 查询第二行数据
row = cursor.fetchone()
print(row) # (2, 'test1', '456')

# 设置之后，光标相对于当前位置往前移动了一行，所以打印的结果为第二行的数据
cursor.scroll(-1,mode='relative')
row = cursor.fetchone()
print(row)

# 设置之后，光标相对于首行没有任何变化，所以打印的结果为第一行数据
cursor.scroll(0,mode='absolute')
row = cursor.fetchone()
print(row)

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

# 结果呈现
select * from userinfo 
{'id': 1, 'name': 'test', 'passwd': '123'}
{'id': 2, 'name': 'test1', 'passwd': '456'}
{'id': 2, 'name': 'test1', 'passwd': '456'}
{'id': 1, 'name': 'test', 'passwd': '123'}

4.2 fetchall()

# 模块导入
import pymysql

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)

# 注意%s需要加引号
sql = "select * from userinfo "
print(sql)

cursor.execute(sql)

# 获取所有的数据
row = cursor.fetchall()
print(row)

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

# 结果呈现
select * from userinfo 
[{'id': 1, 'name': 'test', 'passwd': '123'}, {'id': 2, 'name': 'test1', 'passwd': '456'}, {'id': 3, 'name': 'test2', 'passwd': '111'}, {'id': 4, 'name': 'test3', 'passwd': '222'}]

4.3 fetchmany()

# 模块导入
import pymysql

# 连接
conn = pymysql.connect(
    host="127.0.0.1",
    user="root",
    password="",
    database="databases",
    port=3306,
    charset='utf8'
)

# 创建游标
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)

# 注意%s需要加引号
sql = "select * from userinfo "
print(sql)

cursor.execute(sql)

# 获取2条数据
row = cursor.fetchmany(2)
print(row)

# 关闭连接，游标和连接都要关闭
cursor.close()
conn.close()

# 结果呈现
select * from userinfo 
[{'id': 1, 'name': 'test', 'passwd': '123'}, {'id': 2, 'name': 'test1', 'passwd': '456'}]

• 转自：https://www.cnblogs.com/majj/p/9180353.html