python 字符串组成MySql 命令时，字符串含有单引号或者双引号导致出错解决办法

一、在组成SQL语句并发送命令时完全按照Python中的样式去传递，这样在MySql中执行的时候就会遇到错误的命令，由单引号或者双引号引起。因此应该在组成字符串之前，手动将字符串中的单引号或者双引号之前加上反斜杠，这样在组合成字符串的时候，MySql就能够识别了。

例如：

str="""select count(*) from %s where %s.AppId="%s" """%(self._TB_NAME,self._TB_NAME,appid)

print str

cur.execute("%s"%(str))

 

如果appid是一种含有单引号或者双引号的变量，例如 I'm XXX and say "hi!"

在这个变量中含有单引号，双引号。这样组成的SQL语句为：

select count(* )from  table where table.AppId =" I'm XXX and say "hi!""

这样的话，这个SQL语句明显就会出错。

因此在组成str之前应该对appid中的单引号双引号进行处理。

使用replace方法将单引号和双引号前面加上反斜杠。

appid=appid.replace("'","\\\'")  将单引号转成\单引号

appid=appid.replace('"','\\\"')  将双引号转成\双引号

这样在组成的SQL语句就成了

select count(* )from  table where table.AppId =" I\'m XXX and say \"hi!\""

这样MySql就将字符串中的单引号双引号正确识别了。

 

二、python向mysql数据库插入数据时经常会碰到一些特殊字符，如单引号，双引号。

解决办法：
cur.execute(u'''update table set name = %s where id = %s;''' , (name.decode('utf-8'),index))

举例：
name="I'mHere"
注意： cursor.execute()可以接受一个参数，也可以接受两个参数：
(1) cur.execute("insert into resource(cid,name) values(%s, %s)" , (12,name) );
    这种格式是接受两个参数，MySQLdb会自动替你对字符串进行转义和加引号，不必再自己进行转义，执行完此语句之后，resource表中多了一条记录： 12  I'mHere
(2) cur.execute("insert into resource(cid,name) values(%s, %s)" % (12,name) );
    这种格式是利用python的字符串格式化自己生成一个query，也就是传给execute一个参数，此时必须自己对字符串转义和增加引号，即上边的语句是错误的，应该修改为：
    name = MySQLdb.escape_string(name);
    cursor.execute("insert into resource(cid,name) values(%s, '%s')" % (12,name) );
    这样插入的记录才和(1)一样：12 I'mHere

三、如果要插入空值可以用如下方法

　　a = None

       cur.execute("insert into resource(cid,name) values(%s, %s,%s)" , (12,name,a) );