python如何调用数据库数据库

Python调用数据库的方法包括：使用数据库连接库（如sqlite3、pymysql、psycopg2）、配置数据库连接参数、执行SQL查询语句、处理查询结果。推荐使用专用的数据库连接库、配置正确的数据库参数、使用参数化查询防止SQL注入。其中，使用参数化查询防止SQL注入尤为重要，可以有效保护数据库的安全性。

在详细描述如何使用参数化查询之前，我们先来介绍如何通过Python调用不同类型的数据库。本文将涵盖SQLite、MySQL和PostgreSQL三种常见数据库的连接和操作方法。

一、SQLite数据库

SQLite是一个轻量级的嵌入式数据库，适用于小型应用程序和原型开发。Python内置了sqlite3模块，可以直接使用。

1、连接SQLite数据库

import sqlite3
连接到SQLite数据库（如果数据库不存在，会自动创建）
conn = sqlite3.connect('example.db')
创建一个游标对象
cursor = conn.cursor()

2、创建表

# 创建一个表
cursor.execute('''
CREATE TABLE IF NOT EXISTS users (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    name TEXT NOT NULL,
    age INTEGER NOT NULL
)
''')

3、插入数据

# 使用参数化查询插入数据
cursor.execute('INSERT INTO users (name, age) VALUES (?, ?)', ('Alice', 25))

4、查询数据

# 查询数据
cursor.execute('SELECT * FROM users')
rows = cursor.fetchall()
for row in rows:
    print(row)

5、更新和删除数据

# 更新数据
cursor.execute('UPDATE users SET age = ? WHERE name = ?', (26, 'Alice'))
删除数据
cursor.execute('DELETE FROM users WHERE name = ?', ('Alice',))

6、提交事务和关闭连接

# 提交事务
conn.commit()
关闭连接
conn.close()

二、MySQL数据库

MySQL是一个常用的关系型数据库管理系统，适用于中大型应用。可以使用pymysql库连接和操作MySQL数据库。

1、安装`pymysql`

pip install pymysql

2、连接MySQL数据库

import pymysql
连接到MySQL数据库
conn = pymysql.connect(
    host='localhost',
    user='root',
    password='password',
    db='test_db'
)
创建一个游标对象
cursor = conn.cursor()

3、创建表

# 创建一个表
cursor.execute('''
CREATE TABLE IF NOT EXISTS users (
    id INT AUTO_INCREMENT PRIMARY KEY,
    name VARCHAR(255) NOT NULL,
    age INT NOT NULL
)
''')

4、插入数据

# 使用参数化查询插入数据
cursor.execute('INSERT INTO users (name, age) VALUES (%s, %s)', ('Bob', 30))

5、查询数据

# 查询数据
cursor.execute('SELECT * FROM users')
rows = cursor.fetchall()
for row in rows:
    print(row)

6、更新和删除数据

# 更新数据
cursor.execute('UPDATE users SET age = %s WHERE name = %s', (31, 'Bob'))
删除数据
cursor.execute('DELETE FROM users WHERE name = %s', ('Bob',))

7、提交事务和关闭连接

# 提交事务
conn.commit()
关闭连接
conn.close()

三、PostgreSQL数据库

PostgreSQL是一个功能强大的开源对象关系型数据库系统，适用于复杂查询和数据处理。可以使用psycopg2库连接和操作PostgreSQL数据库。

1、安装`psycopg2`

pip install psycopg2

2、连接PostgreSQL数据库

import psycopg2
连接到PostgreSQL数据库
conn = psycopg2.connect(
    dbname='test_db',
    user='postgres',
    password='password',
    host='localhost'
)
创建一个游标对象
cursor = conn.cursor()

3、创建表

# 创建一个表
cursor.execute('''
CREATE TABLE IF NOT EXISTS users (
    id SERIAL PRIMARY KEY,
    name VARCHAR(255) NOT NULL,
    age INT NOT NULL
)
''')

4、插入数据

# 使用参数化查询插入数据
cursor.execute('INSERT INTO users (name, age) VALUES (%s, %s)', ('Charlie', 35))

5、查询数据

# 查询数据
cursor.execute('SELECT * FROM users')
rows = cursor.fetchall()
for row in rows:
    print(row)

6、更新和删除数据

# 更新数据
cursor.execute('UPDATE users SET age = %s WHERE name = %s', (36, 'Charlie'))
删除数据
cursor.execute('DELETE FROM users WHERE name = %s', ('Charlie',))

7、提交事务和关闭连接

# 提交事务
conn.commit()
关闭连接
conn.close()

四、使用参数化查询防止SQL注入

参数化查询是通过将SQL语句与参数分开处理来防止SQL注入攻击的技术。使用参数化查询可以确保数据库引擎正确地解析和执行SQL语句，而不会将用户输入解释为SQL代码。

1、为什么使用参数化查询

使用参数化查询不仅可以提高代码的可读性和可维护性，还可以有效防止SQL注入攻击。SQL注入攻击是通过将恶意SQL代码插入到用户输入中，从而修改或破坏数据库的行为。通过使用参数化查询，数据库引擎能够正确地识别和处理参数，从而避免SQL注入攻击。

2、如何使用参数化查询

大多数数据库连接库都支持参数化查询。下面是一些示例代码，展示如何在不同的数据库连接库中使用参数化查询。

SQLite

cursor.execute('INSERT INTO users (name, age) VALUES (?, ?)', ('Alice', 25))

MySQL（使用`pymysql`）

cursor.execute('INSERT INTO users (name, age) VALUES (%s, %s)', ('Bob', 30))

PostgreSQL（使用`psycopg2`）

cursor.execute('INSERT INTO users (name, age) VALUES (%s, %s)', ('Charlie', 35))

通过使用参数化查询，可以确保用户输入的数据被正确地处理，从而防止SQL注入攻击。

五、总结

Python调用数据库的方法包括：使用数据库连接库、配置数据库连接参数、执行SQL查询语句、处理查询结果。其中，推荐使用专用的数据库连接库、配置正确的数据库参数、使用参数化查询防止SQL注入。本文详细介绍了SQLite、MySQL和PostgreSQL数据库的连接和操作方法，并强调了使用参数化查询的重要性。通过遵循这些最佳实践，可以确保Python代码与数据库的交互安全、高效。