Citations et variables Python et Mysql

Question

J'ai rencontré un problème que je ne sais pas résoudre.

J'ai cette ligne:

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST   ('"The.New.York.Times"' IN BOOLEAN MODE);") 

Si je lance:

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"The.New.York.Times"'  IN BOOLEAN MODE);") 

dans la console MySQL, cela fonctionne. Mais je suppose que python n'aime pas les citations '"The.New.York.Times"'. Comment puis-je résoudre cela?

Et aussi, comment est-ce que je ferais en python cette chaîne de recherche une variable? Quelque chose du genre

parse = cur.execute("SELECT * FROM testdb WHERE Match(name) AGAINST ('"%s"' IN BOOLEAN MODE);, var1") 

?

Answer 1

Afin d'éviter les injections sql et obtenir Escaping appropriée, vous devez passer des variables de requête comme second paramètre à execute:

param = '"The.New.York.Times"' 
cur.execute("SELECT * FROM predb WHERE Match(name) AGAINST (%s IN BOOLEAN MODE)", (param,))