Escape-строка Python для MySQL

conn.escape_string()

См. сопоставление функций MySQL C API: http://mysql-python.sourceforge.net/MySQLdb.html< /а>

Библиотека MySQLdb на самом деле сделает это за вас, если вы будете использовать их реализации для построения строки SQL-запроса вместо того, чтобы пытаться создать свою собственную.

Не делайте:

sql = "INSERT INTO TABLE_A (COL_A,COL_B) VALUES (%s, %s)" % (val1, val2)
cursor.execute(sql)

Do:

sql = "INSERT INTO TABLE_A (COL_A,COL_B) VALUES (%s, %s)"
cursor.execute(sql, (val1, val2))

Используйте текстовую функцию sqlalchemy, чтобы удалить интерпретацию специальных символов:

Обратите внимание на использование функции text("your_insert_statement") ниже. Что он делает, так это сообщает sqlalchemy, что все вопросительные знаки и знаки процента в переданной строке следует рассматривать как литералы.

import sqlalchemy
from sqlalchemy import text
from sqlalchemy.orm import sessionmaker
from datetime import datetime
import re

engine = sqlalchemy.create_engine("mysql+mysqlconnector://%s:%s@%s/%s"
     % ("your_username", "your_password", "your_hostname_mysql_server:3306",
     "your_database"),
     pool_size=3, pool_recycle=3600)

conn = engine.connect()

myfile = open('access2.log', 'r')
lines = myfile.readlines()

penguins = []
for line in lines:
   elements = re.split('\s+', line)

   print "item: " +  elements[0]
   linedate = datetime.fromtimestamp(float(elements[0]))
   mydate = linedate.strftime("%Y-%m-%d %H:%M:%S.%f")

   penguins.append(text(
     "insert into your_table (foobar) values('%%%????')"))

for penguin in penguins:
    print penguin
    conn.execute(penguin)

conn.close()

Еще один способ обойти это — использовать что-то подобное при использовании mysqlclient в python.

предположим, что данные, которые вы хотите ввести, похожи на эти <ol><li><strong style="background-color: rgb(255, 255, 0);">Saurav\'s List</strong></li></ol>. Он содержит как двойные кавычки, так и одинарные кавычки.

Вы можете использовать следующий метод, чтобы избежать кавычек:

оператор = """ Обновить набор чатов html='{}' """.format(html_string.replace("'","\\\'"))

Примечание: три символа \ необходимы, чтобы избежать одинарной кавычки, которая есть в неформатированной строке Python.

установить пакет sqlescapy:

pip install sqlescapy

тогда вы можете избежать переменных в своем необработанном запросе

from sqlescapy import sqlescape

query = """
    SELECT * FROM "bar_table" WHERE id='%s'
""" % sqlescape(user_input)

{!a} применяет ascii() и, следовательно, экранирует не-ASCII-символы, такие как кавычки и даже смайлики. Вот пример

cursor.execute("UPDATE skcript set author='{!a}',Count='{:d}' where url='{!s}'".format(authors),leng,url))

документация по Python3