Python和Mysql的報價和變量

Question

我跑了一個問題，我不知道如何解決。

我有這樣一行：

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST   ('"The.New.York.Times"' IN BOOLEAN MODE);") 

如果我運行：

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"The.New.York.Times"'  IN BOOLEAN MODE);") 

在MySQL控制檯，它的工作原理。但我猜python不喜歡'"The.New.York.Times"'引號。我如何解決這個問題？

而且，我將如何在Python中使該搜索字符串變量？ 東西沿線

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"%s"' IN BOOLEAN MODE);, var1") 

？

Answer 1

爲了避免SQL注入，並得到適當的轉義，你應該通過查詢變量作爲第二個參數來execute：

param = '"The.New.York.Times"' 
cur.execute("SELECT * FROM predb WHERE Match(name) AGAINST (%s IN BOOLEAN MODE)", (param,))