Python pymysql传参数的方法包括：使用占位符、使用字典传参、使用列表传参。其中，使用占位符的方法是最常见且推荐的，因为它不仅能提高代码的可读性，还能防止SQL注入攻击。下面将详细描述如何使用占位符传参数。
使用占位符传参数时，我们可以在SQL语句中使用“%s”作为占位符，然后通过execute()方法将参数传递给占位符。pymysql库会自动将这些参数正确地插入到SQL语句中，确保SQL语句的正确性和安全性。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s AND city = %s"
# 执行 SQL 语句并传递参数
cursor.execute(sql, (30, 'New York'))
# 获取结果
result = cursor.fetchall()
for row in result:
print(row)
finally:
connection.close()
在上述示例中，“%s”占位符用于表示我们将在后续传递的参数。execute()方法的第二个参数是一个元组，包含实际的参数值（30 和 'New York'）。这样，pymysql会将这些参数正确地替换到SQL语句中。
接下来，我们将深入探讨如何使用pymysql传递参数的更多方法和最佳实践。
一、占位符传参
使用元组传参
在Python的pymysql库中，最常用的传参方法是使用元组。元组不仅能确保参数的顺序正确，还能保证传递的参数不可变，从而提高代码的安全性和可读性。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 插入语句
sql = "INSERT INTO users (name, age, city) VALUES (%s, %s, %s)"
# 执行 SQL 语句并传递参数
cursor.execute(sql, ('John Doe', 28, 'Los Angeles'))
# 提交更改
connection.commit()
finally:
connection.close()
使用字典传参
除了使用元组传参外，pymysql还支持使用字典传参。这种方法可以提高代码的可读性，特别是在传递大量参数时。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %(age)s AND city = %(city)s"
# 执行 SQL 语句并传递参数
cursor.execute(sql, {'age': 25, 'city': 'San Francisco'})
# 获取结果
result = cursor.fetchall()
for row in result:
print(row)
finally:
connection.close()
在上述示例中，我们使用了带有命名占位符的SQL语句（例如“%(age)s”），并通过字典传递实际参数。这样不仅可以提高代码的可读性，还能确保参数的正确性。
二、预防SQL注入
使用参数化查询
参数化查询是防止SQL注入攻击的有效方法。通过使用占位符和传递实际参数，pymysql能够自动处理参数的转义和插入，从而防止恶意输入破坏SQL语句的结构。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# 用户输入
user_input = "Robert'); DROP TABLE users;--"
# SQL 查询语句
sql = "SELECT * FROM users WHERE name = %s"
# 执行 SQL 语句并传递参数
cursor.execute(sql, (user_input,))
# 获取结果
result = cursor.fetchall()
for row in result:
print(row)
finally:
connection.close()
在上述示例中，即使用户输入了恶意SQL代码，pymysql也会正确处理这些输入，防止SQL注入攻击。
输入验证和清洗
除了使用参数化查询外，开发人员还应对用户输入进行验证和清洗，以确保输入的合法性和安全性。
import pymysql
def validate_input(user_input):
# 实现输入验证逻辑
if not isinstance(user_input, str):
raise ValueError("Invalid input")
return user_input
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# 用户输入
user_input = validate_input("John Doe")
# SQL 查询语句
sql = "SELECT * FROM users WHERE name = %s"
# 执行 SQL 语句并传递参数
cursor.execute(sql, (user_input,))
# 获取结果
result = cursor.fetchall()
for row in result:
print(row)
finally:
connection.close()
在上述示例中，validate_input()函数用于验证和清洗用户输入，确保输入的合法性和安全性。
三、批量操作
批量插入
在实际开发中，我们可能需要一次性插入大量数据。pymysql提供了executemany()方法，可以方便地执行批量操作。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 插入语句
sql = "INSERT INTO users (name, age, city) VALUES (%s, %s, %s)"
# 批量插入的数据
data = [
('Alice', 24, 'Chicago'),
('Bob', 30, 'New York'),
('Charlie', 28, 'San Francisco')
]
# 执行批量插入
cursor.executemany(sql, data)
# 提交更改
connection.commit()
finally:
connection.close()
在上述示例中，我们使用executemany()方法一次性插入多条记录，提高了代码的执行效率。
批量更新
类似于批量插入，pymysql也支持批量更新操作。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 更新语句
sql = "UPDATE users SET age = %s WHERE name = %s"
# 批量更新的数据
data = [
(25, 'Alice'),
(31, 'Bob'),
(29, 'Charlie')
]
# 执行批量更新
cursor.executemany(sql, data)
# 提交更改
connection.commit()
finally:
connection.close()
在上述示例中，我们使用executemany()方法一次性更新多条记录，同样提高了代码的执行效率。
四、事务管理
开启和提交事务
在数据库操作中，事务管理是一个重要的概念。事务确保了一组数据库操作要么全部成功，要么全部失败，从而保证数据的一致性。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# 开启事务
connection.begin()
# SQL 插入语句
sql1 = "INSERT INTO users (name, age, city) VALUES (%s, %s, %s)"
cursor.execute(sql1, ('David', 32, 'Boston'))
# SQL 更新语句
sql2 = "UPDATE users SET age = %s WHERE name = %s"
cursor.execute(sql2, (33, 'David'))
# 提交事务
connection.commit()
except Exception as e:
# 回滚事务
connection.rollback()
print(f"Transaction failed: {e}")
finally:
connection.close()
在上述示例中，我们使用begin()方法开启事务，执行一组数据库操作后，通过commit()方法提交事务。如果在事务过程中发生异常，我们使用rollback()方法回滚事务，确保数据的一致性。
使用上下文管理器
pymysql支持使用Python的上下文管理器来自动管理事务的提交和回滚。这样可以简化代码，提高代码的可读性和安全性。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# 使用上下文管理器自动管理事务
with connection:
# SQL 插入语句
sql1 = "INSERT INTO users (name, age, city) VALUES (%s, %s, %s)"
cursor.execute(sql1, ('Eve', 26, 'Miami'))
# SQL 更新语句
sql2 = "UPDATE users SET age = %s WHERE name = %s"
cursor.execute(sql2, (27, 'Eve'))
except Exception as e:
print(f"Transaction failed: {e}")
finally:
connection.close()
在上述示例中，我们使用with语句自动管理事务。这样，无论事务操作成功还是失败，pymysql都会自动提交或回滚事务，确保数据的一致性。
五、处理结果集
获取单条记录
在执行查询操作后，我们通常需要获取查询结果。pymysql提供了fetchone()方法，用于获取单条记录。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE name = %s"
# 执行查询
cursor.execute(sql, ('Alice',))
# 获取单条记录
result = cursor.fetchone()
if result:
print(result)
else:
print("No record found")
finally:
connection.close()
在上述示例中，我们使用fetchone()方法获取单条记录。如果查询结果为空，fetchone()方法将返回None。
获取多条记录
如果查询结果包含多条记录，我们可以使用fetchall()方法一次性获取所有记录。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
# 执行查询
cursor.execute(sql, (25,))
# 获取所有记录
results = cursor.fetchall()
for row in results:
print(row)
finally:
connection.close()
在上述示例中，我们使用fetchall()方法获取所有符合条件的记录，并通过循环逐条打印。
使用fetchmany()方法
在某些情况下，我们可能不希望一次性获取所有记录，而是分批获取。pymysql提供了fetchmany()方法，可以指定每次获取的记录数。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
# 执行查询
cursor.execute(sql, (25,))
# 分批获取记录
while True:
results = cursor.fetchmany(size=2)
if not results:
break
for row in results:
print(row)
finally:
connection.close()
在上述示例中，我们使用fetchmany()方法每次获取2条记录，直到获取完所有符合条件的记录。
六、错误处理
捕获和处理异常
在进行数据库操作时，可能会发生各种异常。为了提高代码的健壮性和可靠性，我们需要捕获和处理这些异常。
import pymysql
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
try:
# 执行查询
cursor.execute(sql, (25,))
# 获取结果
results = cursor.fetchall()
for row in results:
print(row)
except pymysql.MySQLError as e:
print(f"Error executing query: {e}")
finally:
connection.close()
在上述示例中，我们使用try-except语句捕获pymysql.MySQLError异常，并打印错误信息。
自定义异常处理
除了捕获pymysql提供的异常外，我们还可以定义自己的异常处理逻辑，以满足特定需求。
import pymysql
自定义异常
class DatabaseError(Exception):
pass
建立数据库连接
connection = pymysql.connect(host='localhost',
user='user',
password='passwd',
database='database')
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
try:
# 执行查询
cursor.execute(sql, (25,))
# 获取结果
results = cursor.fetchall()
for row in results:
print(row)
except pymysql.MySQLError as e:
raise DatabaseError(f"Database operation failed: {e}")
finally:
connection.close()
在上述示例中，我们定义了一个自定义异常DatabaseError，并在捕获pymysql.MySQLError异常时抛出自定义异常，提供更具体的错误信息。
七、连接池管理
使用连接池提高性能
在高并发场景下，频繁创建和关闭数据库连接会导致性能瓶颈。使用连接池可以有效地提高性能和资源利用率。
from DBUtils.PooledDB import PooledDB
import pymysql
创建连接池
pool = PooledDB(pymysql,
maxconnections=10,
host='localhost',
user='user',
password='passwd',
database='database')
从连接池获取连接
connection = pool.connection()
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
# 执行查询
cursor.execute(sql, (25,))
# 获取结果
results = cursor.fetchall()
for row in results:
print(row)
finally:
# 关闭连接（实际上是将连接返回连接池）
connection.close()
在上述示例中，我们使用DBUtils.PooledDB创建连接池，并从连接池获取连接进行数据库操作。这样可以减少频繁创建和关闭连接的开销，提高性能。
配置连接池参数
根据实际需求，我们可以配置连接池的参数，例如最大连接数、初始连接数等。
from DBUtils.PooledDB import PooledDB
import pymysql
创建连接池并配置参数
pool = PooledDB(pymysql,
maxconnections=10, # 最大连接数
mincached=2, # 初始化时创建的连接数
maxcached=5, # 缓存连接池中最多闲置的连接数
blocking=True, # 连接池中无可用连接后是否阻塞等待
host='localhost',
user='user',
password='passwd',
database='database')
从连接池获取连接
connection = pool.connection()
try:
with connection.cursor() as cursor:
# SQL 查询语句
sql = "SELECT * FROM users WHERE age > %s"
# 执行查询
cursor.execute(sql, (25,))
# 获取结果
results = cursor.fetchall()
for row in results:
print(row)
finally:
# 关闭连接（实际上是将连接返回连接池）
connection.close()
在上述示例中，我们配置了连接池的参数，以满足不同场景下的需求。
八、其他高级操作
存储过程
在某些复杂的数据库操作中，我们可以使用存储过程来简化代码和提高性能。pymysql
相关问答FAQs：
如何在Python中使用pymysql传递参数以执行SQL查询？
在使用pymysql库时，可以通过使用参数化查询来传递参数。这种方式不仅提高了代码的可读性，还能有效防止SQL注入。使用cursor.execute()方法时，可以将参数以元组或字典的形式传入。例如：
cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))
在这个例子中，user_id的值将安全地插入到查询中。
pymysql支持哪些类型的参数传递？
pymysql支持多种数据类型的参数传递，包括整数、字符串、日期等。无论是单个参数还是多个参数，都可以通过元组或字典的形式进行传递。例如，如果有多个条件，可以这样做：
cursor.execute("SELECT * FROM users WHERE age > %s AND city = %s", (age, city))
在这里，age和city都是变量，它们的值会被安全地插入到SQL查询中。
使用pymysql时，如何确保参数传递的安全性？
在使用pymysql时，建议始终采用参数化查询，而不是将用户输入直接拼接到SQL语句中。这可以有效防止SQL注入攻击。此外，确保对输入的数据进行适当的验证和清洗也非常重要。通过这种方式，可以提高应用程序的安全性和稳定性。
