python，％和mysql語句

Question

我試圖執行一個mysql查詢，它需要包含％字符......在構建查詢時，我遇到了一個python使用％的問題，並試圖將它作爲變量保存：

statmt="select id from %s WHERE `email` LIKE %blah%" % (tbl) 
self.cursor.execute(statmt) 

這與自然barfs：

statmt="select id from %s WHERE `email` LIKE %blah%" % (tbl) 
TypeError: not enough arguments for format string 

我應該如何解決這個問題所以Python停止閱讀這是一個變量，它需要作爲字符串的一部分？

謝謝！

Answer 1

當需要一個Python格式表達式內的字面%，使用%%：

statmt="select id from %s WHERE `email` LIKE '%%blah%%'" % (tbl) 

參見文檔section 5.6.2. String Formatting Operations獲得更多信息。

Answer 2

您不需要使用字符串插值。 execute方法處理它給你，這樣你就可以做到這一點，而不是：

statmt="select id from %s WHERE `email` LIKE %blah%" 
self.cursor.execute(statmt, tbl) 

Answer 3

您可以使用str.format：

statmt="select id from {tbl} WHERE `email` LIKE %blah%".format(tbl=tbl) 

確保你沒有創建一個SQL注入漏洞。

Answer 4

你應該%%

逃避你百分號你應該用戶參數化查詢，雖與?和,而不是串插。