如何让用户在 sqlite3、python3 中输入 TABLE 名称？

Question

我需要提示用户创建一个学生表，检查数据库中是否存在同名的表，如果没有则创建它。

import sqlite3
conn = sqlite3.connect('School')
print ("Database has been created")

def create_table():
 TableName = input("Enter table name: ")
 tb_create ="""CREATE TABLE , (TableName,) (ID INT PRIMARY KEY,title VARCHAR(10), forename VARCHAR(20), 
 surname VARCHAR(20))"""
 tb_exists ="SELECT name FROM sqlite_master WHERE type='table' AND name= ?", (TableName,)
 if not conn.execute(tb_exists).fetchone():
   conn.execute(tb_create)
   print ("Table created successfully")
 else:
 print ("Table Exists!")

我知道可以将用户输入的值插入到表中，但是如何创建具有输入名称的表？ CREATE TABLE 后 go 应该做什么？ 如果我使用，（TableName，）代码将无法编译。 另外，一旦新表被添加到数据库中，我如何在 INSER INTO 查询中指明它的名称？

def insert_data():
 conn.execute("INSERT INTO TableName (ID,title,forename,surname)VALUES \
 (234,'Mr','XXX','XXX'")
 conn.commit()

Answer 1

CREATE TABLE语句的正确语法是：

CREATE TABLE tablename(column1 datatype1, column2 datatype2, ....)

由于您希望用户提供表的名称，因此您可以使用字符串插值来完成，因为您不能使用? sql 查询中的占位符作为参数：

tb_create = f"CREATE TABLE [{TableName}](ID INTEGER PRIMARY KEY, title TEXT, forename TEXT, surname TEXT)"

表的名称必须用方括号括起来，以防用户提供的名称无效（例如，它以数字开头或包含空格）。
此外，如果您希望列ID自动递增，则必须使用INTEGER而不是INT作为其数据类型。
此外，SQLite 中没有VARCHAR数据类型。 使用TEXT 。

您可以将变量TableName定义为全局变量，以便您可以在所有函数中使用它，例如insert_data() 。
对INSERT语句也使用字符串插值。

import sqlite3
conn = sqlite3.connect("School")
print ("Database has been created")
TableName = ""

def create_table():
  global TableName
  TableName = input("Enter table name: ").strip()
  tb_exists ="SELECT name FROM sqlite_master WHERE type = 'table' AND name = ?"
  if not conn.execute(tb_exists, (TableName,)).fetchone():
    tb_create = f"CREATE TABLE [{TableName}](ID INTEGER PRIMARY KEY, title TEXT, forename TEXT, surname TEXT)"
    conn.execute(tb_create)
    print("Table created successfully")
  else:
    print("Table Exists!")

def insert_data():
  if len(TableName) > 0:
    conn.execute(f"INSERT INTO [{TableName}] (ID,title,forename,surname) VALUES (234,'Mr','XXX','XXX')")
    conn.commit()

create_table()
insert_data()

Answer 2

表名或列名无法参数化，因此您必须构建查询字符串。 这意味着您应该控制输入的名称是合理的，因为从字符串构建查询已知是SQL 注入的向量。

但是大多数（如果不是全部）SQL 数据库允许创建一个不存在的表。 语法只是：

CREATE TABLE table_name IF NOT EXISTS (
    column_name type,
    ...)

所以在这里，你可以这样做：

import re
...
def create_table():
 TableName = input("Enter table name: ")
 # control name:
 if not re.match(r'\w*$', TableName):
     raise IllegalValue("Invalid table name")
 tb_create =f"""CREATE TABLE {TableName} IF NOT EXISTS (ID INT PRIMARY KEY,title VARCHAR(10),
   forename VARCHAR(20), surname VARCHAR(20))"""
 conn.execute(tb_create)