如何通过HTML获取用户输入并借助Python与SQL执行查询？

当然可以实现你想要的功能！不过看了你的代码，发现几个关键问题得调整，我来一步步帮你理清楚：

是的，完全可以通过HTML表单获取用户输入，再用Python处理后查询SQL数据库。而且输入必须做安全处理，否则会面临严重的SQL注入风险——这是数据库操作里的重中之重，绝对不能忽略。

1. SQL查询变量替换错误
   你现在的SQL语句里写的是'store_search'，这是把字符串字面量硬编码进去了，根本没用到用户输入的变量值。更危险的是，就算你改成直接拼接用户输入，也会触发SQL注入漏洞，恶意用户可以通过输入特殊字符篡改你的SQL语句，甚至删除整个数据库。

2. 逻辑顺序混乱
   你先获取了store_search再判断请求方法，这会导致GET请求时request.form.get("store")拿到None，逻辑会出现不必要的分支。应该先判断请求方法，再处理POST请求的输入。

3. 结果返回逻辑错误
   你在循环里直接return row，这会导致只返回查询结果的第一行就终止函数了，无法展示所有匹配的数据。

4. 模板数据传递缺失
   HTML模板里的{{ store }}没有被正确传值，而且没有处理查询结果的展示逻辑，用户看不到返回的数据。

Python代码（基于Flask框架） #

def search():
    if request.method == "POST":
        store_search = request.form.get("store")
        if not store_search:
            return "Please type in a store name!"
        
        # 使用参数化查询（核心：避免SQL注入）
        c = conn.cursor()
        # 注意：不同数据库占位符可能不同，MySQL用%s，SQLite用?，PostgreSQL用%s
        c.execute("SELECT * FROM stores WHERE store_name = %s", (store_search,))
        rows = c.fetchall()
        c.close()  # 及时关闭游标，避免资源泄漏
        
        # 将查询结果和搜索关键词传给模板
        return render_template("search.html", rows=rows, search_term=store_search)
    
    # GET请求时，返回空的搜索表单
    return render_template("search.html")

HTML模板代码 #

{% extends "main_page.html" %} 
{% block title %} Search {% endblock %} 
{% block main %}
<form action="{{ url_for('search') }}" method="post">
    <fieldset>
        <div class="form-group">
            <input autocomplete="off" autofocus class="form-control" name="store" placeholder="Store Name" type="text" value="{{ search_term }}"/>
        </div>
        <div class="form-group">
            <button class="btn btn-default" type="submit">Search</button>
        </div>
    </fieldset>
</form>

<!-- 展示查询结果 -->
{% if rows %}
<div class="page-header">
    <h1>Results for "{{ search_term }}"</h1>
</div>
<table class="table table-striped">
    <thead>
        <!-- 根据你的实际表字段调整表头 -->
        <tr>
            <th>ID</th>
            <th>Store Name</th>
            <th>Address</th>
        </tr>
    </thead>
    <tbody>
        {% for row in rows %}
        <tr>
            <td>{{ row[0] }}</td>
            <td>{{ row[1] }}</td>
            <td>{{ row[2] }}</td>
        </tr>
        {% endfor %}
    </tbody>
</table>
{% elif search_term %}
<div class="alert alert-info">No stores found matching "{{ search_term }}".</div>
{% endif %}
{% endblock %}

• 参数化查询是核心：永远不要直接把用户输入拼到SQL语句里，用数据库驱动提供的占位符让系统自动处理输入的转义，从根源上避免SQL注入。
• 输入验证要完善：除了检查是否为空，还可以根据业务规则添加更多验证，比如限制输入长度、只允许合法字符等，进一步提升安全性。
• 资源要及时清理：记得关闭游标和数据库连接（如果没用连接池的话），避免资源泄漏。
• 用户体验要优化：处理无结果的情况，保留用户的搜索关键词，让用户知道自己搜了什么。

内容的提问来源于stack exchange，提问作者Emily