今日内容概要

python操作MySQLSQL注入问题修改表SQL语句补充视图、触发器、存储过程事务流程控制、函数索引与慢查询优化

今日内容详细

一、python操作MySQL

python中支持操作MySQL的模块很多 其中最常见的当属pymysql属于第三方模块

pip3 install pymysql

基本使用

import pymysql

链接服务端

conn_obj = pymysql.connect(host='127.0.0.1', # MySQL服务端的IP地址port=3306, # MySQL默认PORT地址(端口号)user='root', # 用户名password='jason123', # 密码 也可以简写 passwddatabase='jp04_3', # 库名称 也可以简写 dbcharset='utf8' # 字符编码 千万不要加杠utf-8) # 要善于查看源码获取信息

产生获取命令的游标对象

cursor = conn_obj.cursor(cursor=pymysql.cursors.DictCursor) # 括号内不写参数 数据是元组要元组 不够精确 添加参数则会将数据处理成字典

编写SQL语句

# sql1 = 'show tables;'sql1 = 'select * from teacher;' # SQL语句会被高亮显示 不用惊慌# sql1 = 'select * from score;' # SQL语句会被高亮显示 不用惊慌

执行SQL语句

affect_rows = cursor.execute(sql1)print(affect_rows) # 执行SQL语句之后受影响的行数

获取结果

res = cursor.fetchall()print(res)

补充：

获取SQL语句执行的结果 跟读取文件内容的read方法几乎一致(光标)fetchone()fetchmany()fetchall()cursor.scroll(1, 'relative') # 相对于当前位置往后移动一个单位cursor.scroll(1, 'absolute') # 相对于起始位置往后移动一个单位

二、SQL注入问题

# 写正确的用户名错误的密码也可以登录用户名:jason' -- jhahsdjasdjasd密码:直接回车# 用户名和密码都不需要也可以登录用户名:xxx' or 1=1 -- asdjasjdkajsd密码:直接回车"""上述现象就是典型的SQL注入问题"""上述情况利用的是MySQL注释语法及逻辑运算符# 解决SQL注入的问题其实也很简单 就是想办法过滤掉特殊符号execute方法自带校验SQL注入问题 自动处理特殊符号ps:设计到敏感数据的拼接 全部交给execute方法即可!!!sql = "select * from userinfo where name=%s and password=%s;"cursor.execute(sql, (name, password))"""execute方法补充(了解)批量插入数据sql = 'insert into userinfo(name,password) values(%s,%s)'cursor.executemany(sql,[('tom',123),('lavin',321),('pony',333)])"""

二次确认

"""数据的增删改查四个操作是有轻重之分的查 不会影响真正的数据 重要程度最低增、改、删都会影响真正的数据 重要程度较高pymysql针对增、改、删三个操作 都设置了二次确认 如果不确认则不会真正影响数据库"""方式1:代码直接编写affect_row = cursor.execute(sql)mit() # 手动二次确认方式2:配置固定参数conn_obj = pymysql.connect(autocommit=True # 自动二次确认)

三、修改表SQL语句补充

# 1.修改表的名字 renamealter table t1 rename ttt;# 2.添加字段 addalter table ttt add pwd int; '''默认是尾部追加字段'''alter table ttt add tid int after name; '''指定追加位置'''alter table ttt add nid int first; '''指定头部添加字段'''# 3.修改字段 change(名字类型都可)/modify(只能改类型不能改名字)alter table ttt change pwd password tinyint;# 4.删除字段 dropalter table ttt drop nid;

四、视图

"""视图的概念 通过SQL语句的执行得到的一张虚拟表 保存下来之后就称之为'视图'视图的作用如果需要频繁的使用一张虚拟表 可以考虑制作成视图 降低操作难度eg: emp与dep表拼接视图的制作create view 视图名 as sql语句"""# 视图虽然看似很好用 但是会造成表的混乱 毕竟视图不是真正的数据源# 视图只能用于数据的查询 不能做增、删、改的操作 可能会影响原始数据(视图里面的数据是直接来源于原始表 而不是拷贝一份)

五、触发器

"""触发器概念在对表数据进行增、删、改的具体操作下，自动触发的功能触发器作用专门针对表数据的操作 定制个性化配套功能触发器种类表数据新增之前、新增之后表数据修改之前、修改之后表数据删除之前、删除之后触发器创建create trigger 触发器名字 before/after insert/update/deleteon 表名 for each rowbeginSQL语句end触发器的名字一般情况下建议采用下列布局形式tri_after_insert_t1tri_before_update_t2tri_before_delete_t3"""具体案例(了解)"""补充:临时修改SQL语句的结束符delimiter $$临时修改的原因是因为触发器 存储过程等技术点 代码中也需要使用分号如果不修改 则无法书写出完成的代码"""1.先创建两张表# 案例CREATE TABLE cmd (id INT PRIMARY KEY auto_increment,USER CHAR (32),priv CHAR (10),cmd CHAR (64),sub_time datetime, #提交时间success enum ('yes', 'no') #0代表执行失败);CREATE TABLE errlog (id INT PRIMARY KEY auto_increment,err_cmd CHAR (64),err_time datetime);2.需求:cmd表插入数据的success如果值为no 则去errlog表中插入一条记录delimiter $$ # 将mysql默认的结束符由;换成$$create trigger tri_after_insert_cmd after insert on cmd for each rowbeginif NEW.success = 'no' then # 新记录都会被MySQL封装成NEW对象insert into errlog(err_cmd,err_time) values(NEW.cmd,NEW.sub_time);end if;end $$delimiter ; # 结束之后记得再改回来，不然后面结束符就都是$$了3.仅仅往cmd表中插入数据INSERT INTO cmd (USER,priv,cmd,sub_time,success)VALUES('kevin','0755','ls -l /etc',NOW(),'yes'),('kevin','0755','cat /etc/passwd',NOW(),'no'),('kevin','0755','useradd xxx',NOW(),'no'),('kevin','0755','ps aux',NOW(),'yes');4.触发器其他补充查看当前库下所有的触发器信息show triggers\G;删除当前库下指定的触发器信息drop trigger 触发器名称;

六、事务

"""事务的概念事务可以包含诸多SQL语句并且这些SQL语句要么同时执行成功 要么同时执行失败 这是事务的原子性特点事务的作用戴某某欠了赵某某一笔钱 现在想要还钱戴某某拿着交行的银行卡去招商银行的ATM机给赵某某的建行卡转钱1.朝交行的服务器发送请求 修改戴某某账户余额(减钱)2.朝建行的服务器发送请求 修改赵某某账户余额(加钱)事务的四大特性(重点)ACIDA:原子性一个事务是一个不可分割的整体 里面的操作要么都成立要么都不成立C:一致性事务必须使数据库从一个一致性状态变到另外一个一致性状态I:隔离性并发编程中 多个事务之间是相互隔离的 不会彼此干扰D:持久性事务一旦提交 产生的结果应该是永久的 不可逆的课下可以自己百度搜索整理 上面是老师整理的简单概述版本ps:辛辛苦苦一个月 换来的就是一条SQL语句!!!"""具体使用1.创建表及录入数据create table user(id int primary key auto_increment,name char(32),balance int);insert into user(name,balance)values('jason',1000),('kevin',1000),('tank',1000);2.事务操作开启一个事务的操作start transaction;编写SQL语句(同属于一个事务)update user set balance=900 where name='jason';update user set balance=1010 where name='kevin'; update user set balance=1090 where name='tank';事务回滚(返回执行事务操作之前的数据库状态)rollback; # 执行完回滚之后 事务自动结束事务确认(执行完事务的主动操作之后 确认无误之后 需要执行确认命令)commit; # 执行完确认提交之后 无法回滚 事务自动结束

七、存储过程

类似于python中的自定义函数# 相当于定义函数delimiter $$create procedure p1()beginselect * from cmd;end $$delimiter ;# 相当于调用函数call p1()"""类似于有参函数delimiter $$create procedure p1(in m int, # in表示这个参数必须只能是传入不能被返回出去in n int, out res int # out表示这个参数可以被返回出去，还有一个inout表示即可以传入也可以被返回出去)beginselect tname from userinfo where id > m and id < n;set res=0; # 用来标志存储过程是否执行end $$delimiter ;# 针对res需要先提前定义set @res=10; 定义select @res; 查看call p1(1,5,@res) 调用select @res 查看查看存储过程具体信息show create procedure pro1;查看所有存储过程show procedure status;删除存储过程drop procedure pro1;"""

八、函数

注意与存储过程的区别，mysql内置的函数只能在sql语句中使用！

"ps:可以通过help 函数名 查看帮助信息!"# 1.移除指定字符Trim、LTrim、RTrim# 2.大小写转换Lower、Upper# 3.获取左右起始指定个数字符Left、Right# 4.返回读音相似值(对英文效果)Soundex"""eg:客户表中有一个顾客登记的用户名为J.Lee但如果这是输入错误真名其实叫J.Lie,可以使用soundex匹配发音类似的where Soundex(name)=Soundex('J.Lie')"""# 5.日期格式:date_format'''在MySQL中表示时间格式尽量采用-11-11形式'''CREATE TABLE blog (id INT PRIMARY KEY auto_increment,NAME CHAR (32),sub_time datetime);INSERT INTO blog (NAME, sub_time)VALUES('第1篇','-03-01 11:31:21'),('第2篇','-03-11 16:31:21'),('第3篇','-07-01 10:21:31'),('第4篇','-07-22 09:23:21'),('第5篇','-07-23 10:11:11'),('第6篇','-07-25 11:21:31'),('第7篇','-03-01 15:33:21'),('第8篇','-03-01 17:32:21'),('第9篇','-03-01 18:31:21');select date_format(sub_time,'%Y-%m'),count(id) from blog group by date_format(sub_time,'%Y-%m');1.where Date(sub_time) = '-03-01'2.where Year(sub_time)= AND Month(sub_time)=07;# 更多日期处理相关函数 adddate增加一个日期 addtime增加一个时间datediff计算两个日期差值...

九、流程控制

# python if判断if 条件:子代码elif 条件:子代码else:子代码# js if判断if(条件){子代码}else if(条件){子代码}else{子代码}# MySQL if判断if 条件 then子代码elseif 条件 then子代码else子代码end if;# MySQL while循环DECLARE num INT ;SET num = 0 ;WHILE num < 10 DOSELECT num ;SET num = num + 1 ;END WHILE ;

十、索引

# 索引就是一种数据结构类似于书的目录。意味着以后再查数据应该先找目录再找数据，而不是用翻页的方式查询数据索引在MySQL中也叫做“键”，是存储引擎用于快速找到记录的一种数据结构primary key 主键uniquekey唯一键index key 索引键上面三种key前两种除了有加速查询的效果之外还有额外的约束条件(primary key:非空且唯一，unique key:唯一)，而index key没有任何约束功能只会帮你加速查询# ps:foreign key不是用来加速查询用的,不在我们研究范围之内# 索引的基本用法idnamepwdpost_comment addr age 基于id查找数据很快 但是基于addr查找数据就很慢 解决的措施可以是给addr添加索引'''索引虽然好用 但是不能无限制的创建!!!'''**索引的影响:*** 在表中有大量数据的前提下，创建索引速度会很慢* 在索引创建完毕后，对表的查询性能会大幅度提升，但是写的性能会降低索引的底层数据结构是b+树b树 红黑树 二叉树 b*树 b+树上述结构都是为了更好的基于树查找到相应的数据只有叶子结点存放真实数据，根和树枝节点存的仅仅是虚拟数据查询次数由树的层级决定，层级越低次数越少一个磁盘块儿的大小是一定的，那也就意味着能存的数据量是一定的。如何保证树的层级最低呢？一个磁盘块儿存放占用空间比较小的数据项思考我们应该给我们一张表里面的什么字段字段建立索引能够降低树的层级高度>>> 主键id字段"""聚集索引(primary key)辅助索引(unique key,index key)查询数据的时候不可能都是用id作为筛选条件，也可能会用name，password等字段信息，那么这个时候就无法利用到聚集索引的加速查询效果。就需要给其他字段建立索引，这些索引就叫辅助索引叶子结点存放的是辅助索引字段对应的那条记录的主键的值(比如:按照name字段创建索引，那么叶子节点存放的是:{name对应的值:name所在的那条记录的主键值})数据查找 如果一开始使用的是辅助索引 那么还需要使用聚焦索引才可以获取到真实数据覆盖索引:只在辅助索引的叶子节点中就已经找到了所有我们想要的数据select name from user where name='jason';非覆盖索引:虽然查询的时候命中了索引字段name，但是要查的是age字段，所以还需要利用主键才去查找select age from user where name='jason';"""