0

Имеется вот такой код:

import sqlite3
import sys

big = 'other'
string = 'ok'

con = sqlite3.connect('aa.db')
cur = con.cursor()  

cur.execute("INSERT INTO posts VALUES (NULL, big, 'default', '', 'no', string, '0')")

con.commit()
con.close()

При выполнении выдает ошибку:

sqlite3.OperationalError: no such column: big

Ошибка возникает по всей видимости из за переменных 'big' и 'string'.

Можно как то выполнить добавления строчки в базу sqlite3 с использованием этих переменных?

1
  • 1
    cur.execute("INSERT INTO posts VALUES (NULL, ?, 'default', '', 'no', ?, '0')", (big, string))
    – Evrik
    16 фев 2017 в 6:17

2 ответа 2

2

Для создания запросов к базе данных в целях безопасности всегда рекомендуется использовать placeholder. В модуле sqlite3 для этого в текст запроса вместо переменных проставляются символы знака вопроса (?) либо используются named placeholder, а в метод execute вторым параметром передаётся список подставляемых переменных для первого случая, либо словарь - для второго.

Пример с использованием знака вопроса:

cur.execute("INSERT INTO posts VALUES (NULL, ?, 'default', '', 'no', ?, '0')", (big, string))

Пример с использованием named placeholders

cur.execute("INSERT INTO posts VALUES (NULL, :big, 'default', '', 'no', :string, '0')", {"big": big, "string": string})

Дополнено с комментария @jfs

Если во втором случае названия переменных совпадают с названиями named placeholder, то в метод execute вторым параметром можно передать словарь vars

big = 'other'
string = 'ok'
cur.execute("INSERT INTO posts VALUES (NULL, :big, 'default', '', 'no', :string, '0')", vars())
2
  • Чтобы руками словарь не писать, то можно просто vars() передать в примере с именованными параметрами.
    – jfs
    16 фев 2017 в 13:27
  • Спасибо все получилось
    – leonidtime
    22 фев 2017 в 0:40
0

У вас big и string получаются как просто слова внутри строки запроса. Чтобы их значения подставлялись в запрос можно использовать format.

Вместо той строки, где выполняется запрос, поставьте эти две строки:

query = "INSERT INTO posts VALUES (NULL, {}, 'default', '', 'no', {}, '0')".format(big, string)
cur.execute(query)
5
  • no such column: other
    – andreymal
    16 фев 2017 в 5:03
  • Так ведь в кавычках же надо: VALUES (NULL, '{}', 'default', '', 'no', '{}', '0')
    – aleks.andr
    16 фев 2017 в 5:26
  • @aleks.andr big = "ot'her" и всё снова грустно :)
    – andreymal
    16 фев 2017 в 5:30
  • не используйте строковое форматирование для создания sql query. Передайте лучше как параметры.
    – jfs
    16 фев 2017 в 7:08
  • Спасибо все получилось
    – leonidtime
    22 фев 2017 в 0:41

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.