MySQLdb: ошибка с Select/выполнить/escape_string

Question

выполнения этого кода на Python 2.7.10 [GCC 5.2.1 20151010] на linux2

import flask 
from MySQLdb import escape_string as thwart 
username="abc" 

conn = MySQLdb.connect(host="localhost",user="root", passwd="xxxxxxx", db="pythonprogramming") 
c  = conn.cursor() 
x  = c.execute("SELECT * FROM users WHERE username = (%s)", (thwart(username))) 

Я получаю следующее сообщение об ошибке:

Traceback (most recent call last): 
File "", line 1, in TypeError: must be impossible, not str 

это версия MySQL на моем компьютере

+-------------------------+------------------------------+ 
| Variable_name | Value 

+-------------------------+------------------------------+ 
| innodb_version | 5.7.11 

| protocol_version | 10 

| slave_type_conversions | 

| tls_version | TLSv1,TLSv1.1 

| version | 5.7.11 

| version_comment | MySQL Community Server (GPL) | 
| version_compile_machine | x86_64 

| version_compile_os | Linux 

+-------------------------+------------------------------+ 

Answer 1

Вы знаете об опасности внедрения SQL. Это хорошо.

Вы даже используете очень надежную форму: execute: с параметризованным запросом). Когда вы делаете свой запрос таким образом, вам не нужно бежать вообще. execute все делает для вас. Таким образом, решение:

x  = c.execute("SELECT * FROM users WHERE username = % 

s», (имя пользователя))

Вы нуждались бы избежать, если вы сделали что-то вроде этого (с необходимым import):

x  = c.execute("SELECT * FROM users WHERE username = %s" % escape_string(username)) 

Для дальнейшего обсуждение, посмотрите на Python MySQL Parameterized Queries

Answer 2

Код ниже работал для меня, а переменная запроса x возвратила «1L»

`param1="john" 
x = c.execute("""SELECT * FROM users WHERE username = %s """, (param1,)) 
` 

хотя я не совсем понимаю, почему следующий код ниже не работает

param1="john" 
x = c.execute("""SELECT * FROM users WHERE username = %s """ % (param1,)) 

и

param1="john" 
x = c.execute("""SELECT * FROM users WHERE username = %s """ , (param1))