Python - Sqlite - OperationalError：near“s”：语法错误[重复]

Question

这个问题在这里已有答案：

• Python和sqlite3抛出错误：sqlite3.OperationalError：near“s”：语法错误 1回答

尝试向表中添加值时出现以下错误：

line 33, in insert
    c.execute("INSERT INTO {tn} (Process, Info) VALUES('{proc}', 
'{inf}')".format(tn=table_name, proc=proc, inf=content))
OperationalError: near "s": syntax error

在使用某些文本时会发生这种情况，如果我写一些常规的东西没有问题，但是例如类似的东西：

#. My item number one
#. My item number two with some more content
    and it's continuing on the second line?
#. My third item::
    Oh wait, we can put code!
#. My four item::
    No way.
.. _bottom:
    Go to top_'''

它失败..这是我正在使用的代码：

def insert(table_name, proc, content):

    conn = sqlite3.connect(sqlite_file)
    conn.text_factory = str
    c = conn.cursor()

    c.execute("INSERT INTO {tn} (Process, Info) VALUES('{proc}', 
              '{inf}')".format(tn=table_name, proc=proc, inf=content))

    conn.commit()
    conn.close()

感谢你的帮助人:)

Answer 1

语法错误是由将包含元字符的数据插入到SQL查询中引起的。 在您的特定示例中，您的数据包含一个'字符，并表示字符串的结尾。 接下来的字符s是语法错误。

不要使用str.format()把你的数据转换成一个查询。 使用SQL参数并保持适当的转义到数据库驱动程序：

c.execute("INSERT INTO {tn} (Process, Info) VALUES(?, ?)".format(tn=table_name),
          (proc, content))

这两个? 字符充当数据库驱动程序的占位符，以插入(proc, content)元组中的值。 驱动程序将负责正确地转义值。

因为SQL参数只能用于值 ，而不能用于表等对象名称，所以仍然会使用字符串格式来插入表名。 您需要100％确定您不接受table_name变量的任意不受信任数据。 例如，首先根据有效表名列表对该数据进行保存。