pymysql 中的可选 WHERE 条件执行

Question

我有一个 mysql SELECT 查询，我想用 python 使用 pymysql 执行。为了避免重复，我希望该方法采用一些可选参数，这些参数应该定义 SELECT 是否应该将它们用作 WHERE 条件。

最小示例：

def select_from_db(arg1 = None, arg2 = None):
    db_connection = connect_to_db()
    cursor = db_connection.cursor()
    where_condition_one = ' and arg1 = %s'.format(arg1) if arg1 else ''
    where_condition_two = ' and arg2 = %s'.format(arg2) if arg2 else ''
    cursor.execute('SELECT * FROM tableName WHERE 1=1 ',(where_condition_one, where_condition_two)) 
    #Handle result...

问题是调用 select_from_db() 的结果查询是：

SELECT * FROM tableName WHERE 1=1 '' ''

虽然我希望它是：

SELECT * FROM tableName WHERE 1=1

我尝试使用 None 而不是 ''，但后来我得到：

SELECT * FROM tableName WHERE 1=1 None None

有没有什么优雅的方法可以通过一个执行语句实现我的目标，而不会让我自己对 sql-injection 开放？

Answer 1

sql = 'SELECT * FROM tableName WHERE 1=1 '
args = []
if arg1:
    sql += ' and arg1 = %s'
    args.append(arg1)
if arg2:
    sql += ' and arg2 = %s'
    args.append(arg2)
cursor.execute(sql, args)

或减少重复：

sql = ['SELECT * FROM tableName WHERE 1=1']
args = []

def add_arg(name, value):
    if value:
        sql.append('and {} = %s'.format(name))
        args.append(value)

add_arg('arg1', arg1)
add_arg('arg2', arg2)

cursor.execute(' '.join(sql), args)

pymysql 中的可选 WHERE 条件执行

Optional WHERE conditions in pymysql execute

python

mysql

sql-injection

pymysql