python - 带有变量 flask 的Mysql查询

Question

有人可以帮我吗？我是一名新程序员，对于一个小项目，我需要为 Flask 数据库中的每个用户创建一个个人资料页面

@app.route("/idpage/<int:page_id>", methods=['GET', 'POST'])
def profilepage(page_id):
    profile=engine.execute("SELECT username,password FROM tutorial WHERE id=" +page_id+ "").fetchall()
    return render_template('viewprofile.html', profile=profile)

报错是

TypeError: cannot concatenate 'str' and 'int' objects

这是我的第二个“程序”，我能找到一些使用 sql 的文档吗？

Answer 1

您永远不应通过直接将用户输入插入查询来构建查询。这为您打开了 SQL injection attacks .相反，您应该使用 bind parameters .

engine.execute("SELECT username, password FROM tutorial WHERE id = ?", page_id)

请注意，绑定(bind)符号因驱动程序而异，但通常是 ? 或 %s 之一。