python连接sqlserver数据库的问题

Question

在pycharm中使用pyodbc库与sqlserver数据库建立连接，想执行一条查询sql语句获取数据，但是where过滤条件需要用户输入，因此写了input并赋值给了变量名name，但执行的时候却报错了。如果在代码中直接写是可以正常运行的。想请问如何能够将用户输入的值传入sql语句

Answer 1

参考通义千问和郭老师的小迷弟雅思莫了-编写提供，主要是为了帮助您快速解决问题，如下回答，您可以参考下，如有问题，评论区留言。

在Python中，为了防止SQL注入攻击并确保数据安全，当需要将用户输入的值作为SQL查询条件时，应使用参数化查询。在pyodbc库中，你可以使用占位符（如?或%s）来表示参数，并将实际值放在execute方法的第二个参数中作为一个元组。

以下是一个示例，说明如何使用用户输入与pyodbc执行参数化的SQL查询：

import pyodbc

# 获取用户输入
name = input("请输入要查询的名称: ")

# 创建数据库连接
server = 'your_server'
database = 'your_database'
username = 'your_username'
password = 'your_password'
cnxn_str = (
    f"DRIVER={{ODBC Driver 17 for SQL Server}};"
    f"SERVER={server};"
    f"DATABASE={database};"
    f"UID={username};"
    f"PWD={password}"
)
conn = pyodbc.connect(cnxn_str)

# 创建游标对象
cursor = conn.cursor()

# 参数化查询
query = "SELECT * FROM YourTable WHERE Name = ?"
params = (name,)

# 执行查询
cursor.execute(query, params)

# 获取结果
rows = cursor.fetchall()

# 处理结果
for row in rows:
    print(row)

# 关闭游标和连接
cursor.close()
conn.close()

请替换上述代码中的your_server、your_database、your_username、your_password以及YourTable和Name为你的实际服务器地址、数据库名、用户名、密码以及表名和字段名。通过这种方式，用户的输入会被正确地转义和引用，从而避免了潜在的安全风险。