如何安全地使用变量更新 MySQL WHERE 子句，防止 SQL 注入？

2024-03-04 02:19:57

使用变量安全地更新 MySQL WHERE 子句

在使用变量更新 MySQL WHERE 子句时，防止 SQL 注入至关重要。本文将分步指导你如何安全地执行此操作。

1. 准备查询语句

首先，使用占位符 (?) 替换 WHERE 子句中的变量值。这将帮助防止 SQL 注入攻击，因为占位符将被正确地转义和处理。例如：

UPDATE data SET words = ? WHERE id = ?

2. 创建参数元组

将变量值存储在一个元组中，其顺序与占位符对应。例如：

params = (wordCount, results[0])

3. 使用 execute() 方法

使用 execute() 方法执行查询，并将参数元组作为第二个参数传递。这将确保变量值被安全地处理。例如：

mycursor.execute("UPDATE data SET words = ? WHERE id = ?", params)

应用示例

让我们以一个实际示例来应用这些步骤。假设我们有一个包含评论的数据库表，我们想计算每条评论的单词数并更新到数据库中。

import re
import requests
import mysql.connector

# 建立数据库连接
db = mysql.connector.connect(...)

# 创建游标
mycursor = db.cursor()

# 提取评论
mycursor.execute("SELECT id, REPLACE(REPLACE(REGEXP_REPLACE(`comment`, '(<[^>]*>)|(&nbsp;)', ''), '\t', ''), '\n', '') FROM data WHERE topic = 60940")

# 计算单词数并更新数据库
for results in mycursor:
    wordCount = len(re.findall(r'[ \n]+', results[1]))
    params = (wordCount, results[0])
    mycursor.execute("UPDATE data SET words = ? WHERE id = ?", params)

# 提交更改
db.commit()