Python MySQLdb: Los parámetros de consulta como un diccionario llamado

Question

que quieren transmitir los parámetros de consulta a cursor.execute() método de MySQLdb como un diccionario llamado, de manera que son escaparon de inyección SQL.

¿Puede explicar por qué esto da KeyError:

>>>c.execute('select id from users where username=%(user)s', {'user':'bob',}) 
KeyError: 'user' 

manual de MySQLdb http://mysql-python.sourceforge.net/MySQLdb.html dice:

* paramstyle

cadena constante que indica el tipo de marcador de parámetro formato esperado por la interfaz. Establecer en 'formato' = códigos de formato ANSI C printf, p. '... WHERE nombre =% s'. Si se utiliza un objeto de mapeo para conn.execute(), entonces la interfaz realmente usa 'pyformat' = códigos de formato extendido de Python, p. '... WHERE nombre =% (nombre) s'. Sin embargo, la API no permite actualmente la especificación de más de un estilo en paramstyle *

Answer 1

La línea en la siguiente documentación de lo que ha pegado puede responder a su pregunta:.

Parameter placeholders can only be used to insert column values. They can not be used for other parts of SQL, such as table names, statements, etc.

Answer 2

MySQLdb permite predice como parámetros de consulta . This response muestra todas las formas diferentes de hacerlo. Solo necesita proporcionar una secuencia como parámetro (tupla, dict ...) como segundo parámetro para "ejecutar". NO formatee su consulta como solo un parámetro para el método de "ejecución" o probablemente estará expuesto a ataques de inyección SQL. Ver:

"SELECT * FROM users WHERE username = '%s'" % (user) 

pensar en lo que sucedería si:

user = "peter;DROP TABLE users" :_(

La otra manera está asegurada, ya que permite a la biblioteca MySQLdb para manejar el control necesario.

No sé lo que está mal, debido a que su consulta funciona bien para mí:

# Connect to db 
# Open a cursor 
stmt = "SELECT * FROM users WHERE username = %(user)s" 
cursor.execute(stmt, {"user": "bob"}) 
user = cursor.fetchone() 
print user 

{'username': 'bob', 'alias': 'bobby', 'avatar': 'default', 'fullname': 'bob'} 

Puede darnos más información?