pymysql及相关拓展

注：本文部分引自博客园苍松

pymysql

pymysql是python用于连接并操作数据库的一个原生模块

pymysql安装

linux下:

pip3 install pymysql

sql注入

1.简单模拟登录

先来看一个简单例子，代码如下：

import pymysql

user = input("username:")
pwd = input("password:")

# 与数据库建立连接
conn = pymysql.connect(host="localhost", user="root", password="root", database="test")
# 设置游标
cursor = conn.cursor()
# 将要执行的sql语句
sql = "select * from userinfo where username = '%s' and password = '%s'" % (user, pwd)
# 执行语句
cursor.execute(sql)
# 用fetchone获取查询结果
result = cursor.fetchone()
# 关闭连接
cursor.close()
conn.close()

if result:
    print("登录成功")
else:
    print("用户名或密码错误")

2.sql注入漏洞

注意，上面的代码虽然可正确执行，但是是存在漏洞的。

如图，漏洞为即使你随便输入一个账户，按照”xxx’ or 1=1 – “的格式，不输入密码也能登录进去，这种漏洞我们称呼为”sql注入”；问题主要存在于sql语句的写法。

3.sql注入原理

如图

4.避免sql注入

为了避免sql注入，我们不要自己做拼接，用pymysql自带的execute后面传参数的方式,有如下三种方法:

sql = "select * from userinfo where username = %s and password = %s"
cursor.execute(sql, (user, pwd))

或者：

sql = "select * from userinfo where username = %s and password = %s"
cursor.execute(sql, [user, pwd])

或者：

sql = "select * from userinfo where username = %(u)s and password = %(p)s"
cursor.execute(sql, {'u': user, 'p': pwd})

顺利解决sql注入问题，如图

5.模拟登陆代码

import pymysql

name = input("username:")
pwd = input("password:")

conn = pymysql.connect(host='localhost', user='root', password='root', database='test')
cursor = conn.cursor()

sql = "select * from userinfo where name=%s and password=%s"
r = cursor.execute(sql, (name, pwd))
# 方法二
# sql = "select * from userinfo where name=%s and password=%s"
# r = cursor.execute(sql, [name, pwd])
# 方法三
# sql = "select * from userinfo where name=%(u)s and password=%(p)s"
# r = cursor.execute(sql, {'u': name, 'p': pwd})
result = cursor.fetchone()

cursor.close()
conn.close()

if result:
print("登陆成功")
else:
print("账户名或密码错误")

pymysql操作数据库

1.pymysql增

1.1.插入一行数据

代码如下：

import pymysql

conn = pymysql.connect(host="localhost", user="root", password="root", database="test")
cursor = conn.cursor()
sql = "insert into userinfo(username,password) values('那英','naying')"
cursor.execute(sql)
conn.commit()
cursor.close()
conn.close()

值得注意的是，在增删改时我们用的是commit进行提交，在查时用的是fetchone进行查找。
当然，我们也可以自定义插入，如下：

sql = "insert into userinfo(username,password) values(%s,%s)"
cursor.execute(sql, [user, pwd])
conn.commit()

1.2.插入多行数据

在插入当行数据是，应注意此时我们用的是executemany，而不是execute。

sql = "insert into userinfo(username,password) values(%s,%s)"
r = cursor.executemany(sql, [('张学友', 'zhangxueyou'), ('林俊杰', 'linjunjie')])
conn.commit()

1.3.execute的返回值r

execute和executemany都有返回值，用来记录受影响的行数，如下：

sql = "insert into userinfo(username,password) values(%s,%s)"
r = cursor.executemany(sql, [('张学友', 'zhangxueyou'), ('林俊杰', 'linjunjie')])
print(r)
conn.commit()

结果为2；
不仅仅是增删改会有受影响的行数，查询时也会有。
同时，executemany只适用于插入数据，删和改用execute即可。

2.pymysql查

2.1.fetchone

代码如下：

result = cursor.fetchone()
print(result)
result = cursor.fetchone()
print(result)
result = cursor.fetchone()
print(result)

结果：

(1, '刘德华', 'liudehua')
(3, '郭德纲', 'guodegang')
(4, '胡歌', 'huge')

fetchone可以单次查询，也可以连续单次查询，连续单次查询时，会有类似于指针一样的东西，当你查询一次后，指针自动跳往下一行数据。

2.2.fetchall

fetchall在未指定limit时，默认查询所有数据
代码如下：

sql = "select * from userinfo"
cursor.execute(sql)
result = cursor.fetchall()
print(result)

结果：
((1, ‘刘德华’, ‘liudehua’), (3, ‘郭德纲’, ‘guodegang’), (4, ‘胡歌’, ‘huge’), (5, ‘周杰伦’, ‘zhoujielun’), (7, ‘那英’, ‘naying’), (8, ‘王菲’, ‘wangfei’), (11, ‘张学友’, ‘zhangxueyou’), (14, ‘林俊杰’, ‘linjunjie’))

2.3.fetchmany

fetchmany(n)查询指定前n条数据
代码如下：

sql = "select * from userinfo"
cursor.execute(sql)
result = cursor.fetchmany(3)
print(result)

结果：
((1, ‘刘德华’, ‘liudehua’), (3, ‘郭德纲’, ‘guodegang’), (4, ‘胡歌’, ‘huge’))

2.4.fetch小结

1.fetchone查询单次数据，fetchall查询所有数据，fetchmany(n)查询指定n词数据。
2.如果想要实现分页的话，要先在查询语句中limit 10数据，再用fetchall查询指定的10条数据；而不能先fetchall所有数据，再一部分一部分的显示。
3.相对来说，用的最多的是fetchone和fetchall

注：在fetch数据时按照顺序进行，可以使用cursor.scroll(num,mode)来移动游标位置，如：

cursor.scroll(1,mode=’relative’) # 相对当前位置移动
cursor.scroll(2,mode=’absolute’) # 相对绝对位置移动

2.5.查询数据字典形式显示

为了方便查看，我们会将数据以字典格式显示key和value
代码如下：

import pymysql

conn = pymysql.connect(host='localhost', user='root', password='root', database='test')
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)
sql = "select * from userinfo"
cursor.execute(sql)
result = cursor.fetchmany(3)
print(result)

结果：
[{‘id’: 1, ‘username’: ‘刘德华’, ‘password’: ‘liudehua’}, {‘id’: 3, ‘username’: ‘郭德纲’, ‘password’: ‘guodegang’}, {‘id’: 4, ‘username’: ‘胡歌’, ‘password’: ‘huge’}]

2.6.新增数据的自增id

获取新增数据的自增id:cursor.lastrowid,直接用
如果插入的为多行数据，则显示的为最后一个自增的id

print(cursor.lastrowid)

3.pymysql删改

增和查的注意点可能多一点，而pymysql删与改的操作重点在于sql语句，其他只需要连接，执行，关闭连接即可。

3.1.改

代码如下：
import pymysql

conn = pymysql.connect(host='localhost', user='root', password='root', database='test')
cursor = conn.cursor()

sql = "update userinfo set name='李玉刚' where id=1"
cursor.execute(sql)
conn.commit()

cursor.close()
conn.close()

4.pymysql删

4.1.删

代码如下：
import pymysql

conn = pymysql.connect(host='localhost', user='root', password='root', database='test')
cursor = conn.cursor()

sql = "delete from userinfo where id=1"
cursor.execute(sql)
conn.commit()

cursor.close()

视图

为某个查询语句设置别名，方便使用，即为视图；

1.创建视图

创建语句：create view viewname as SQL
eg：

CREATE view v1 as SELECT * FROM userinfo WHERE id>5;
CREATE view v1 as SELECT id,name FROM userinfo WHERE id>5;

2.修改视图

修改语句：alter view viewname as SQL
eg：

alter view v1 as SELECT id,NAME from userinfo WHERE id >5;

3.删除视图

删除语句：drop view viewname;
eg：

drop view v1;

4.查看视图

查看语句：select from viewname;
eg:
select from v1;
select id,name from v1;

5.视图小结

给一个临时表设置别名的过程就叫做创建视图，别名就是视图的名称；实际存在的表比如userinfo就是物理表，而一个视图就是虚拟表，虚拟表动态的从物理表中取数据，所以在物理表中插入数据后虚拟表也可能会随之改变，但不能向虚拟表中插入数据；创建，修改，删除视图。

触发器

对某个表进行【增/删/改】操作的前后触发一些操作即为触发器，如果希望触发增删改的行为之前或之后做操作时，可以使用触发器，触发器用于自定义用户对表的行进行【增/删/改】前后的行为。

1.创建触发器

delimiter //   # 修改终止符
CREATE TRIGGER tri_before_insert_userinfo BEFORE INSERT on userinfo for EACH ROW
BEGIN
insert into userinfolog(type,newname) VALUES('insert','姓名');
END//
delimiter ;    # 结束后将终止符修改回来

2.多次触动触发器

insert into userinfo(name,password) values('石超','shichao'),('林殊','linshu');

因为each row的存在，在一次SQL中插入两行数据，会触发两次触发器，即向userinfo插入数据前，会分别两次向user插入数据。

3.自定义触发器新插入数据

在前面我们写的触发器里，只能插入固定的数据，那么我们可不可以在user中插入即将插入userinfo的数据呢？答案是可以的，如下：
delimiter //
create trigger tri_after_delete_userinfo after delete on userinfo for each row
begin
insert into userinfolog(type,oldname) values(‘delete’,OLD.name);
end //
delimiter ;

delimiter //
create trigger tri_after_update_userinfo after update on userinfo for each row
begin
insert into userinfolog(type,oldname,newname) values('update',OLD.name,NEW.name);
end //
delimiter ;

注意：触发器无法被修改，如果想要修改的话，可以先drop，再重新创建

delimiter //
create trigger tri_after_update_userinfo after insert on userinfo for each row
begin
if NEW.operate = 'insert' then
    insert into userinfolog(type,newname) values('INSERT',NEW.name);
elseif NEW.operate = 'delete' then
    insert into userinfolog(type,newname) values('delete',OLD.name);
else
    insert into userinfolog(type,oldname,newname) values('update',OLD.name);
end if;
end //
delimiter ;

函数

1、内置函数

MySQL中提供了许多内置函数，例如：
CURDATE(),可以查看当前时间；
使用：

select CURDATE()

查看更多

2、自定义函数

delimiter \\
create function f1(
    i1 int,
    i2 int)
returns int
BEGIN
    declare num int;
    set num = i1 + i2;
    return(num);
END \\
delimiter ; 

3、删除函数

drop function func_name();

4、执行函数

# 获取返回值
set @i1=1;
set @i2=2;
select f1(@i1,@i2) into @j;
SELECT @j;

select f1(11,nid) ,name from tb2; # 在查询中使用,对列的值函数计算后返回。

5、查看函数

show function status;

6、查看函数构建语句

show create function func_name\G 

存储过程

存储过程是一个SQL语句集合，当主动去调用存储过程时，其中内部的SQL语句会按照逻辑执行。

1、创建存储过程

无参数存储过程

– 创建存储过程

delimiter //　　#修改结束符号，为//
create procedure p1()
BEGIN
    select * from t1;
END//
delimiter ;

– 执行存储过程

call p1()

对于存储过程，可以接收参数，其参数有三类：

in 仅用于传入参数用
out 仅用于返回值用
inout 既可以传入又可以当作返回值
关于变量设置，对于调用存储过程或者函数时，外部传入参数或者获取参数，需加符号@，例如set @t=1；在本次会话内这些带@的变量都可以被获取到。断开连接后变量失效。

有参数存储过程

– 创建存储过程

delimiter \\
create procedure p1(
    in i1 int,
    in i2 int,
    inout i3 int,
    out r1 int
)
BEGIN
    DECLARE temp1 int;
    DECLARE temp2 int default 0; 
    set temp1 = 1;
    set r1 = i1 + i2 + temp1 + temp2;  
    set i3 = i3 + 100;
end\\
delimiter ;

– 执行存储过程

SET @t2=3;
CALL p1 (1, 2 ,@t1, @t2);
SELECT @t1,@t2;

delimiter //　 将结束符号;修改为//
DECLARE　　声明变量。如果没有DEFAULT子句，初始值为NULL。用于内部变量申明。
SET　　　　  变量赋值。用于内部变量赋值，和传参数时参数赋值。 

2、删除存储过程

drop procedure proc_name;

3、执行存储过程

– 无参数

call proc_name();

– 有参数，全in

call proc_name(1,2);

– 有参数，有in，out，inout

set @t1=3;
call proc_name(1,2,@t1,@t2);


import pymysql

conn = pymysql.connect(host='127.0.0.1',user='root', password='root', db='t1')
cursor = conn.cursor(cursor=pymysql.cursors.DictCursor)

cursor.callproc('p1', args=(1, 22, 3, 4)) # 执行存储过程

cursor.execute("select @_p1_0,@_p1_1,@_p1_2,@_p1_3") # 获取执行完存储的参数
result = cursor.fetchall()

conn.commit()
cursor.close()
conn.close()


print(result)

4、查看存储过程

列出所有的存储过程

SHOW  PROCEDURE  STATUS;

5、查看存储过程生成语句

查看存储过程

SHOW CREATE PROCEDURE 存储过程名\G

事务

事务用于将某些操作的多个SQL作为原子性操作，一旦有某一个出现错误，即可回滚到原来的状态，从而保证数据库数据完整性。

定义存储过程：

delimiter \\
drop PROCEDURE if EXISTS p1;
create PROCEDURE p1(
    OUT p_return_code tinyint
)
BEGIN 
  DECLARE exit handler for sqlexception     -- 定义错误处理
  BEGIN 
    -- ERROR 
    set p_return_code = 1; 
    rollback; -- 回滚
  END; 

  DECLARE exit handler for sqlwarning     -- 定义告警处理
  BEGIN 
    -- WARNING 
    set p_return_code = 2; 
    rollback; 
  END; 

  START TRANSACTION; -- 开始事务，使下面的多条SQL语句操作变成原子性操作
        UPDATE tb7 set licnese=(licnese-5) WHERE nid=21; 
        UPDATE tb7 set licnese=(licnese+5) WHERE nid=22; 

  COMMIT; 

  -- SUCCESS 
  set p_return_code = 0; 

END\\
delimiter ;

执行存储过程：

call p1(@p);
SELECT @p;

SQL防注入之动态SQL

在高级语言的DB API不提供防注入的参数化查询功能时，可以使用这种方法来防止SQL注入。在pymysql中的调用点这里。

定义存储过程：

delimiter \\
DROP PROCEDURE IF EXISTS proc_sql \\
CREATE PROCEDURE proc_sql (
    in nid1 INT,
    in nid2 INT,
    in callsql VARCHAR(255)
    )
BEGIN
    set @nid1 = nid1;
    set @nid2 = nid2;
    set @callsql = callsql;
        PREPARE myprod FROM @callsql;
--     PREPARE prod FROM 'select * from tb2 where nid>? and  nid<?';    传入的值为字符串，？为占位符
--     用@nid1，和@nid2填充占位符
        EXECUTE myprod USING @nid1,@nid2;
    DEALLOCATE prepare myprod; 

END\\
delimiter ;

调用存储过程

set @nid1=12;
set @nid2=15;
set @callsql = 'select * from tb7 where nid>? and nid<?';
CALL proc_sql(@nid1,@nid2,@callsql)