13

在这里,我试图删除任何在其电子邮件/用户名中包含“”的用户。

    def removeQuote(self, tbl,record):
            """ Updates the record """
            statmt="select id from %s WHERE `email` LIKE '%%\"%%'" % (tbl)
            self.cursor.execute(statmt)
            rows=list(self.cursor.fetchall())
            for idx, val in enumerate(rows):
                    id= val[0]
                    delstatmt = "DELETE FROM `maillist_subscription` WHERE id = '%s'" % id
                    print delstatmt
                    self.cursor.execute(delstatmt)

输出显示好像操作已成功完成,但记录仍保留在数据库中。输出还显示了正确的 mysql 语句:

DELETE FROM `maillist_subscription` WHERE id = '8288754'

感谢你的帮助!

4

2 回答 2

25

您需要使用连接对象上的 commit() 方法提交更改。大多数 DBAPI 接口使用隐式事务。

此外,不要使用字符串格式生成 SQL 查询!它将打开你的 SQL 注入:

不安全!!

# What happens if id = "1'; DROP DATABASE somedb" ?
delstatmt = "DELETE FROM `maillist_subscription` WHERE id = '%s'" % (id,)
cursor.execute(delstatmt)
conn.commit()

安全的!

delstatmt = "DELETE FROM `maillist_subscription` WHERE id = ?"
cursor.execute(delstatmt, (id,))
conn.commit()
于 2012-08-22T22:41:47.673 回答
1

cursor.execute("DELETE FROM maillist_subscription WHERE id = '"+id+"'")

conn.commit()

于 2020-07-19T09:47:57.600 回答