cursor.execute(sql)|极客笔记

cursor.execute(sql)

在使用数据库进行开发时，我们经常需要对数据库进行增、删、改、查的操作。而 cursor.execute(sql) 是一个常用的方法，用于执行 SQL 语句。

在本文中，我们将详细介绍 cursor.execute(sql) 方法的用法和相关注意事项，以帮助读者更好地理解和应用它。

一、cursor.execute() 的作用

cursor.execute(sql) 是 cursor 对象的一个方法，它用于执行传入的 SQL 语句。通过该方法，我们可以实现对数据库的增、删、改、查操作。

二、参数说明

cursor.execute() 方法接受一个必选参数 sql，它代表要执行的 SQL 语句。sql 可以是一个字符串，也可以是一个带有占位符的字符串。

示例：

sql = "SELECT * FROM students WHERE age > 18"
cursor.execute(sql)

在这个示例中，sql 是一个字符串，用于查询年龄大于 18 岁的学生信息。

我们也可以使用占位符传递参数，例如：

sql = "SELECT * FROM students WHERE age > %s"
age = 18
cursor.execute(sql, (age,))  # 参数必须是tuple或者list形式的

在这个示例中，sql 是一个带有占位符 %s 的字符串，参数 age 作为一个元组传递给 execute() 方法。

三、执行 INSERT、UPDATE、DELETE 操作

使用 cursor.execute() 方法，我们可以执行插入、更新、删除等数据库操作。

1. 插入数据

插入数据需要使用 SQL 的 INSERT INTO 语句，并将具体的数据值替换到占位符上。

示例：

sql = "INSERT INTO students (name, age, gender) VALUES (%s, %s, %s)"
values = ("Alice", 20, "female")
cursor.execute(sql, values)

在这个示例中，我们执行了一条插入语句，向名为 students 的表中插入了一条学生信息。

2. 更新数据

更新数据需要使用 SQL 的 UPDATE 语句，并指定更新条件和要更新的值。

示例：

sql = "UPDATE students SET age = %s WHERE name = %s"
values = (21, "Alice")
cursor.execute(sql, values)

在这个示例中，我们执行了一条更新语句，将学生 Alice 的年龄更新为 21。

3. 删除数据

删除数据需要使用 SQL 的 DELETE 语句，并指定删除条件。

示例：

sql = "DELETE FROM students WHERE age < %s"
age = 20
cursor.execute(sql, (age,))

在这个示例中，我们执行了一条删除语句，删除了年龄小于 20 岁的学生信息。

四、执行 SELECT 查询操作

使用 cursor.execute() 方法，我们可以执行 SELECT 查询操作，并获取查询结果。

示例：

sql = "SELECT * FROM students WHERE age > %s"
age = 18
cursor.execute(sql, (age,))
result = cursor.fetchall()
for row in result:
    print(row)

在这个示例中，我们执行了一条查询语句，获取年龄大于 18 岁的学生信息，并使用 fetchall() 方法获取所有的结果集。

示例输出：

('Alice', 20, 'female')
('Bob', 19, 'male')

五、其他注意事项

1. SQL 注入问题

为了避免 SQL 注入问题，我们应该使用参数化查询，而不是直接拼接 SQL 语句。

错误示例：

name = "'Alice' OR '1'='1'"
sql = "SELECT * FROM students WHERE name = " + name
cursor.execute(sql)

在这个错误示例中，如果 name 参数被恶意注入，那么查询条件变为 WHERE name = 'Alice' OR '1'='1'，将会返回所有学生的信息。

正确示例：

sql = "SELECT * FROM students WHERE name = %s"
name = "Alice"
cursor.execute(sql, (name,))

在这个正确示例中，我们使用占位符 %s 并传递参数 name 来避免 SQL 注入。

2. 数据库连接与关闭

在执行任何数据库操作之前，我们需要首先建立数据库连接。使用完毕后，我们应该关闭数据库连接，以释放资源。以下是一个完整的示例：

import pymysql

# 建立数据库连接
connection = pymysql.connect(host='localhost',
                             user='root',
                             password='password',
                             db='test',
                             charset='utf8mb4',
                             cursorclass=pymysql.cursors.DictCursor)

try:
    with connection.cursor() as cursor:
        # 执行数据库操作
        cursor.execute(sql)

        # 获取查询结果
        result = cursor.fetchall()

        # 进行其他操作

    # 提交事务
    connection.commit()
finally:
    # 关闭数据库连接
    connection.close()

在这个示例中，我们使用了 pymysql 模块来连接和关闭数据库。try...finally 语句用于保证无论如何都能正常关闭数据库连接。