如何在字符串中转义'

Question

我有一个小脚本，可以为我创建某个INSERT SQL语句。

对于PostgreSQL，我需要将要包装的值包装在两个单引号内。

不幸的是，一些要插入的值字符串也包含一个单引号，我需要自动转义它们。

for line in f:
    out.write('(\'' + line[:2] + '\', \'' + line[3:-1] + '\'),\n')

如何确定line[3:-1]中的任何单引号（例如'）都自动转义？

谢谢，

更新：

例如线

CI|Cote D'ivoire

失败，因为

更新2：

我不能在值中使用双引号，例如

INSERT INTO "App_country" (country_code, country_name) VALUES ("AF", "Afghanistan")

我收到错误消息： ERROR: column "AF" does not exist

但是，这很好用：

INSERT INTO "App_country" (country_code, country_name) VALUES ('AF', 'Afghanistan')

Answer 1

如PEP-249中所述，DBPI是各种数据库的通用接口。 不同的数据库存在不同的实现。 对于postgres，有psycopg 。 从文档：

cur.execute(
...     """INSERT INTO some_table (an_int, a_date, a_string)
...         VALUES (%s, %s, %s);""",
...     (10, datetime.date(2005, 11, 18), "O'Reilly"))

您只需在元组中传递参数即可。 基础库为您转义了它。 这比尝试自己动手安全和容易得多。

Answer 2

SQL标准转义引号的方法是将其加倍：

'This won''t be a problem.'

因此，请用两个引号替换每个引号（并在Python中使用双引号保持理智）：

out.write("('" + line[:2] + "', '" + line[3:-1].replace("'", "''") + "'),\n")

Answer 3

切勿对DML使用生成的滚动式转义。 如Keith所述，使用适当的DBAPI。 要进行工作以确保从各种来源进行转义，并且类型转换几乎可以透明地进行。 如果您正在使用诸如CREATE TABLE whatever (...) DDL CREATE TABLE whatever (...) -如果您信任自己的数据源，则可能会有些懈怠。

使用示例中显示的数据 ：

import sqlite3

text = "CI|Cote D'ivoire" # had to been escaped as it's a string literal, but from another data source - possibly not...

code, name = text.split('|', 1)

db = sqlite3.connect(':memory:')
db.execute('create table something(code, name)')
db.execute('insert into something(code, name) values(?, ?)', (code, name))

for row in db.execute('select * from something'):
    print row
# (u'CI', u"Cote D'ivoire")

Answer 4

有关将转义字符添加到字符串的完整解决方案，请使用：

re.escape(string)
>>> re.escape('\ a.*$')
'\\\\\\ a\\.\\*\\$'

有关更多信息，请参见： http : //docs.python.org/library/re.html

Answer 5

不确定是否存在一些与SQL相关的限制，但是您始终可以使用双引号将包含单引号的字符串引起来。

例如。

print "That's all Folks!"

或单引号将双引号引起来：

print 'The name of the file is "rosebud".'