Flask中存储过程实现问题——Python新手技术求助

嘿，作为Python和Flask的新手，能尝试用存储过程处理数据库操作已经超棒啦！不过我看你的代码片段里有几个容易踩坑的地方，咱们一步步来修正和优化：

1. 立刻解决SQL注入风险 #

你现在用字符串拼接构造查询语句：

cursor2.execute("select id from users where userid='"+username1+"'")

这种写法非常危险，恶意用户可以通过构造特殊的username1值执行任意SQL语句，窃取或破坏数据。一定要换成参数化查询，不同数据库的占位符略有不同，比如MySQL用%s，SQLite用?，示例如下：

cursor2.execute("select id from users where userid=%s", (username1,))

注意第二个参数是元组，哪怕只有一个参数，也要加逗号写成(username1,)，不然会被当成单个字符串处理。

2. 存储过程调用的参数格式错误 #

cursor2.callproc('insertPrediction',user_store)这里有问题：callproc方法的第二个参数需要是可迭代的参数集合（比如列表或元组），哪怕只有一个参数，也要写成元组形式，否则会抛出类型错误。修正后应该是：

cursor2.callproc('insertPrediction', (user_store,))

3. 数据库连接与游标的最佳实践 #

手动管理游标和连接很容易遗漏关闭或因异常导致数据不一致，推荐用with上下文管理器自动处理游标，同时用try-except-finally处理异常并确保连接关闭：

修正后的完整示例代码 #

# 假设database是你的数据库连接对象（比如pymysql.connect()返回的实例）
try:
    # 执行初始插入操作
    with database.cursor() as cursor:
        cursor.execute(insertquery)
    database.commit()

    # 查询目标用户ID
    user_store = None
    with database.cursor() as cursor2:
        # 参数化查询避免SQL注入
        cursor2.execute("select id from users where userid=%s", (username1,))
        data2 = cursor2.fetchall()
        # 确保查询到结果再取值
        if data2:
            user_store = int(data2[0][0])
    
    # 只有查询到用户ID时才调用存储过程
    if user_store is not None:
        with database.cursor() as cursor3:
            # 传参用元组格式
            cursor3.callproc('insertPrediction', (user_store,))
        database.commit()

except Exception as e:
    # 出错时回滚所有操作，避免数据不一致
    database.rollback()
    print(f"操作失败: {str(e)}")

finally:
    # 确保最后关闭数据库连接
    if database.is_connected():
        database.close()

额外小提示 #

• 不同数据库驱动对callproc的支持可能略有差异，如果你用的不是MySQL驱动，可以查对应文档确认参数传递方式。
• 尽量不要在操作过程中随意关闭数据库连接，应该在所有操作完成后统一关闭，或者用上下文管理器管理整个连接。

内容的提问来源于stack exchange，提问作者Arijit Das