如何在 Python 中使用 MySQL 的预准备语句来提高查询性能并防止 SQL 注入？

在 Python 中使用 MySQL 的预准备语句

在处理数据库操作时，预准备语句可以显着提高查询性能。在 Python 中，准备好的语句可以与 MySQL 一起使用。

Python 中的参数化查询格式

在 Python 中，您可以使用以下格式创建参数化查询：

cursor.execute("SELECT FROM tablename WHERE fieldname = %s", [value])

参数标记 %s 充当实际值的占位符。不同的数据库驱动程序可能使用不同的参数化样式。要确定适合您的驱动程序的样式，您可以导入驱动程序模块并打印其 paramstyle 属性。

支持的参数化样式

根据 Python 增强提案 (PEP- 249），支持以下参数化样式：

• 'qmark'：问题标记样式（例如 ...WHERE name=?）
• 'numeric'：数字、位置样式（例如 ...WHERE name=:1）
• 'named'：命名样式（例如，...WHERE name=:name）
• 'format'：ANSI C printf 格式代码（例如， ...WHERE name=%s)
• 'pyformat'：Python 扩展格式代码（例如 ...WHERE name=%(name)s)

用法示例

为了演示准备好的语句的用法，请考虑以下内容示例：

import mysql.connector

db = mysql.connector.connect(
    host="localhost",
    user="username",
    password="password",
    database="database_name"
)

cursor = db.cursor()

# Create a parameterized query
parameterized_query = "SELECT * FROM users WHERE name = %s"

# Execute the query with the provided parameter
cursor.execute(parameterized_query, ("John Doe",))

# Fetch the results
results = cursor.fetchall()

# Close the cursor and connection
cursor.close()
db.close()

使用参数化查询可确保您的代码免受 SQL 注入攻击，并通过允许数据库提前准备查询计划来提高查询性能。

以上是如何在 Python 中使用 MySQL 的预准备语句来提高查询性能并防止 SQL 注入？的详细内容。更多信息请关注PHP中文网其他相关文章！