基于Python+MySQL实现用户专属随机闪卡展示的技术问询

原代码存在的问题 #

• 逻辑错误：FlashID并非按用户连续编号，生成的随机数大概率对应其他用户的闪卡，或当前用户无此ID的闪卡
• 拼写错误：SQL语句中表名flashcarcs应为flashcards
• 安全风险：直接拼接UserID到SQL字符串存在SQL注入隐患

推荐实现方案 #

方法一：MySQL内置随机排序（简单高效）

让数据库直接完成随机筛选，无需手动处理ID：

# 参数化查询，避免SQL注入
SQLController.execute("SELECT Question, Answer FROM flashcards WHERE UserID = %s ORDER BY RAND() LIMIT 1", (UserID,))
# 获取随机闪卡
random_card = SQLController.fetchone()
if random_card:
    question, answer = random_card
    # 此处处理闪卡展示逻辑

说明：ORDER BY RAND()会对当前用户的所有闪卡随机排序，LIMIT 1仅返回第一条，完美规避ID不连续的问题。

方法二：先取用户闪卡ID列表再随机选择（大数据量更优）

若用户闪卡数量极大，ORDER BY RAND()性能下降时，可采用此方法：

# 获取当前用户所有闪卡ID
SQLController.execute("SELECT FlashID FROM flashcards WHERE UserID = %s", (UserID,))
flash_ids = [row[0] for row in SQLController.fetchall()]
if flash_ids:
    # 随机挑选一个ID
    rand_flash_id = random.choice(flash_ids)
    # 查询对应闪卡内容
    SQLController.execute("SELECT Question, Answer FROM flashcards WHERE FlashID = %s", (rand_flash_id,))
    question, answer = SQLController.fetchone()

说明：先获取用户专属的闪卡ID集合，再随机选取，彻底避免跨用户闪卡的问题。

额外注意事项 #

• 必须使用参数化查询，禁止直接拼接变量到SQL语句
• 需处理用户无闪卡的情况（flash_ids为空或random_card为None），给用户友好提示
• 原代码中获取闪卡数量的逻辑可简化：

  SQLController.execute("SELECT count(*) FROM flashcards WHERE UserID = %s", (UserID,))
  total_cards = SQLController.fetchone()[0]
  

内容的提问来源于stack exchange，提问作者windypenguin