数据库之（4）pymysql 模块

pymysql模块相关方法：

import pymysql     # python 调用mysql的客户端
#连接数据库，connections.Connection.__init__()
conn = pymysql.connect(
    host = '127.0.0.1',
    port = 3306,
    user = 'root',
    password = '',
    database = 'day45',#数据库名
    charset = 'utf8',
)
cur = conn.cursor()#拿到游标

# 增删改，写数据库
#方式一
# sql_info = 'insert into userinfo(name,password) values("%s","%s")'%('egon',123)
# cur.execute(sql_info)

#方式二：
# sql_info = 'insert into userinfo(name,password) values(%s,%s);'
# ret = cur.execute(sql_info,('wu12',1234))
# print(ret)
#方式三
# cur.executemany(sql_info,[('egon1',123),('egon2',123)])

#查，读数据库
# sql_info = 'select * from userinfo;'
sql_info = 'select password from userinfo where name = "alex";'
rows = cur.execute(sql_info)
print(rows)#查到的数据有几行，并非获取的数据本身

#以元组的形式取出数据
print(cur.fetchall()[0][0])#一次取出一块
# print(cur.fetchmany(4))#一次取出多个，用户可以指定个数
# print(cur.fetchall())#把剩下的所有取出来

conn.commit()#事务型的表的存储方式，必须commit

cur.close()#关闭游标

conn.close()#关闭连接

方法：

1 cur.execute()#只能传递一组参数
2 cur.executemany()#以列表形式传递多组参数
3 cur.fetchone()#获取一个查询结果
4 cur.fetchmany()#获取多个查询结果
5 cur.fetchall()#获取所有的查询结果

 cur = conn.cursor()#获取游标，等同于shell里的mysql>

2.excute（）之SQL注入

 

　　原理：利用某些特殊符号在SQL里具有特殊的意义

　　1.利用‘--’在mysql中注释的特殊意义

import pymysql


name = input('name>>>').strip()
password = input('password>>>').strip()
conn = pymysql.connect(
    host = '127.0.0.1',
    port = 3306,
    user = 'root',
    password = '',
    database = 'day45',
    charset = 'utf8',
)

# cur = conn.cursor()#执行完毕返回的结果集默认以元组显示
cur = conn.cursor(cursor=pymysql.cursors.DictCursor)#执行结果默认以字典的形式显示

####sql注入漏洞
# 漏洞一：alex" -- aaa
# 漏洞二：aaa " or 1=1 -- aaa
sql = 'select * from userinfo where name = "%s" password = "%s" ;'%(name,password)
print(sql)
ret = cur.execute(sql)

conn.commit()
cur.close()
conn.close()

if ret:
    print('登录成功')
else:
    print('登录失败')

 

# 漏洞一：alex" -- aaa

执行结果：

# 漏洞二：aaa " or 1=1 -- aaa

执行结果：

 解决手段：

　　1.前端限制：要求用户不能够输入具有特殊意义的符号

　　2.后台：有的数据不是通过前端传递过来，需要程序员控制，即是通过正则表达式等手段，提取出具有特殊符号的内容，让该SQL语句不要执行。

 3.查询语句

绝对位移执行结果

import pymysql


conn = pymysql.connect(
    host = '127.0.0.1',
    port = 3306,
    user = 'root',
    password = '',
    database = 'day45',
    charset = 'utf8',
)

# cur = conn.cursor()#执行完毕返回的结果集默认以元组显示
cur = conn.cursor(cursor=pymysql.cursors.DictCursor)

####查询：
sql = 'select * from userinfo'
cur.execute(sql)

print(cur.fetchone())#1
cur.scroll(2,mode='absolute')# 相对绝对位置移动
print(cur.fetchone())#3
cur.scroll(2,mode='absolute')# 相对绝对位置移动
print(cur.fetchone())#3



# print(cur.fetchmany())#字典在列表中
# print(cur.fetchall())#字典在列表中

conn.commit()
cur.close()
conn.close()

执行结果：

相对位移执行结果：

import pymysql


conn = pymysql.connect(
    host = '127.0.0.1',
    port = 3306,
    user = 'root',
    password = '',
    database = 'day45',
    charset = 'utf8',
)

# cur = conn.cursor()#执行完毕返回的结果集默认以元组显示
cur = conn.cursor(cursor=pymysql.cursors.DictCursor)

####查询：
sql = 'select * from userinfo'
cur.execute(sql)

print(cur.fetchone())#1
# cur.scroll移动游标位置
cur.scroll(2,mode='relative')# 相对当前位置移动
print(cur.fetchone())#4
cur.scroll(2,mode='relative')# 相对当前位置移动
print(cur.fetchone())#7



# print(cur.fetchmany())#字典在列表中
# print(cur.fetchall())#字典在列表中


# cur.execute('insert into userinfo(name,password) values ("alex2","3714")')
# print(cur.lastrowid)#必须要在插入一条语句后，才能够查看自增id增加到什么位置

conn.commit()
cur.close()
conn.close()

执行结果：

4.获取插入数据的最后一条的自增id

　　#cur.lastrowid 必须在插入语句后，执行

import pymysql


conn = pymysql.connect(
    host = '127.0.0.1',
    port = 3306,
    user = 'root',
    password = '',
    database = 'day45',
    charset = 'utf8',
)

# cur = conn.cursor()#执行完毕返回的结果集默认以元组显示
cur = conn.cursor(cursor=pymysql.cursors.DictCursor)


cur.execute('insert into userinfo(name,password) values ("alex3","3714")')
#必须在插入语句后，执行
print(cur.lastrowid)#必须要在插入一条语句后，才能够查看自增id增加到什么位置

conn.commit()
cur.close()
conn.close()