4

当我用烧瓶和打包烧瓶-mysql 编写网站时，我遇到了一个奇怪的错误。

下面是bug函数的代码：

@app.route('/calendar/editeventtitle',methods=['POST'])
def editeventtitle():
    if not session.get('logged_in'):
      abort(401)

    try:
      id = request.form.get('id',type=int)
      title = request.form['title']
      color = request.form['color']
      delete = request.form.get('delete')
    except:
      pass

    conn = mysql.connect()
    cursor = conn.cursor()
    print(id,type(id))
    # try:
    #   print(delete,type(delete))
    # except:
    #   pass

    if id and delete:
        cursor.execute('delete from events where id = %d',id)
        conn.commit()
        flash('Event canceled!')
        return redirect(url_for('calendar'))
    elif id and title and color:
        cursor.execute('update events set title = %s, color = %s where id = %d',(title,color,id))
        conn.commit()
        flash('Event updated!')
        return redirect(url_for('calendar'))

当我将四个变量发布到此页面时。我成功地得到了它们。结果print(id,type(id))是这样的： 

6 <class 'int'>

我们看到它实际上是一个整数，但是当代码开始从 db 更新或删除数据时，错误消息如下：

类型错误：%d 格式：需要一个数字，而不是 str

真的不知道原因=-=，谁能帮帮我？谢谢你。

PS：Python3.6.1、Flask 0.12.2、Flask-Mysql 1.4.0

4

1 回答 1

3

您应该使用%s这样执行的 SQL 查询中的所有参数。原因是flask-mysql（或它所依赖的任何 MySQL Python 库）将title, color, id在进行字符串插值之前将您提供的参数转换为字符串。

这样做的原因是因为它还会检查您在查询中使用的任何参数是否是预期类型（如整数、SQL 标识符）的实际合理参数，而不是可能破坏查询的 SQL 代码片段。（这用于获得对数据库的未经授权的访问，称为 SQL 注入）。对于每个值，它将检查类型并决定如何将其转换为 SQL 表示。

这就是为什么您不需要在参数title和color. SQL 库将参数标识为字符串并在转义这些字符串中包含的任何单引号之后添加引号。这也是为什么你可以datetime在这里传递一个像 a 这样的 Python 对象。该对象将被正确转换为相应 SQL 类型的文字表示。

于 2017-09-07T11:09:20.607 回答